Показано с 1 по 1 из 1.

Обнаружен троянец с функциями антивируса

  1. #1
    NewsMaker Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.03.2011
    Сообщений
    7,800
    Вес репутации
    141

    Обнаружен троянец с функциями антивируса

    Специалисты компании «Доктор Веб» завершили исследование сложного многокомпонентного троянцаTrojan.Tofsee, обладающего широким спектром возможностей. Основное назначение этого троянца — рассылка спама, однако среди заложенных в него функций есть весьма необычная: один из модулейTrojan.Tofsee предназначен для удаления на инфицированном компьютере других троянцев и вредоносных программ.
    Порой пользователи пренебрегают необходимостью установки на своем компьютере антивирусного программного обеспечения, и в результате многие из них становятся жертвами распространителей вредоносных программ. Можно сказать, что в этом отношении чуть больше других повезло разве что пользователям, компьютеры которых заразились многокомпонентным троянцем Trojan.Tofsee — помимо рассылки спама он умеет «лечить» систему от других угроз, причем справляется с этой задачей на удивление успешно.
    Распространяется Trojan.Tofsee несколькими различными способами: с помощью программы Skype, через социальные сети и съемные накопители. В первом случае злоумышленники используют в своих целях классические методы социальной инженерии, а именно, пытаются ввести потенциальную жертву в заблуждение, сообщив ей о том, что в сети якобы опубликованы шокирующие фотографии или видеозаписи с ее участием. Безусловно, такой подход вполне можно назвать «классикой жанра», поскольку он используется распространителями вирусов на протяжении уже многих лет, однако излишне доверчивые люди все равно продолжают попадаться в эту нехитрую западню.
    Отвечает за распространение Trojan.Tofsee через социальные сети Twitter, Facebook и «ВКонтакте», а также через программу Skype специальный модуль, который троянец скачивает с сервера злоумышленников. Отправляемые сообщения строятся по шаблону, который передается в конфигурационном файле. Сообщения пользователям социальных сетей отсылаются с учетом используемого ими национального языка. Например, потенциальным жертвам, говорящим на русском языке, рассылаются следующие сообщения (оригинальные орфография и пунктуация сохранены):
    Хай. Зацени свои интимные фотки :)
    Привет! Офигеть... Неуж-то это ты?!
    Привет друг) Попалился ты однако конекретно. Это ж ты?
    Офигеть! Это ты? Это конкретное палево ч?
    Ты идиот? Зачем таки? фотки выкладывать в сеть??
    Спецом выложили эту фотку, где ты выглядишь как шлюха?))
    Жесть!! Как можно было так спалиться?!
    Твои родители уже видели?
    5ли эту твою фото с вечеринки? ггг)
    Вот это да! Ты прикалываешься? Такое фото выложить...)
    В тексте сообщения приводится ссылка на страницу, где потенциальная жертва якобы может ознакомиться с компрометирующими ее видеозаписями или фотографиями. Однако для просмотра этого контента пользователю предлагается загрузить плагин для браузера, под видом которого и распространяется Trojan.Tofsee.
    Для отправки сообщений на сайты Twitter, Facebook и «ВКонтакте» вредоносный модуль использует данные сессии из файлов cookies браузеров Microsoft Internet Explorer, Mozilla Firefox, Opera, Safari, Google Chrome. В программу Skype сообщения отсылаются с помощью нажатия кнопок в окне самого приложения. Модуль также умеет распознавать защиту captcha на сайте социальной сети Facebook — для этого она отправляется на сервер, где распознается, после чего троянец получает текст для ввода в соответствующую экранную форму.
    Другой модуль позволяет троянцу распространяться с помощью съемных flash-накопителей. Здесь вирусописатели тоже решили не изобретать велосипед и пошли традиционным путём: модуль сохраняет исполняемый файл Trojan.Tofsee в Корзине, а в корневой папке съемного накопителя создает файл автозапуска autorun.inf. Заражение выполняется по команде с управляющего сервера.
    Однако наибольший интерес с точки зрения своего функционального назначения представляет модуль, предназначенный для поиска и удаления на инфицированном компьютере всех обнаруженных троянцев и других вредоносных программ (за исключением, разумеется, самого Trojan.Tofsee). Этот плагин может искать на диске файлы по заданному списку, а также записи в системном реестре Windows, перечислять запущенные процессы и удалять обнаруженные опасные файлы. Таким образом, даже если на компьютере жертвы не установлена антивирусная программа, Trojan.Tofsee «заботится» о его безопасности.
    Основное назначение Trojan.Tofsee — это рассылка спама, при этом тексты отправляемых писем формируются с помощью специальных шаблонов, которые троянец скачивает с сервера злоумышленников. Функции для работы с сетью и протоколом SMTP реализованы в основном модуле Trojan.Tofsee. После успешного подключения к управляющему серверу тот отсылает троянцу ключи для расшифровки данных. Затем троянец передает на командный сервер данные о себе и получает от него задание, содержащее команды для последующего выполнения. Любопытно, что для создания отправляемых писем троянец использует собственный скриптовый язык, что само по себе является большой редкостью в мире вредоносного программного обеспечения.
    В настоящий момент Trojan.Tofsee может загружать с удаленных серверов 17 подключаемых модулей, реализованных в виде динамических библиотек. Помимо уже описанных выше, другие модули, которые использует в своей работе Trojan.Tofsee, имеют следующее функциональное назначение:
    • модуль для проверки правильности адресов удаленных узлов, передаваемых ему в виде блока конфигурационных данных;
    • плагин для реализации DDoS-атак. Способен реализовывать два вида атак: http flood и syn flood;
    • модуль, представляющий собой зашифрованный Trojan.PWS.Pony.5;
    • модуль для журналирования данных браузера Microsoft Internet Explorer. Извлекает из своего тела и встраивает в процесс браузера библиотеку IEStub.dll, управляется отдельным конфигурационным файлом;
    • модуль для работы с графическими файлами, который загружает изображения в специальные структуры для дальнейшей работы других плагинов;
    • модуль, который извлекает почтовые адреса из Internet Account Manager и PStoreCreateInstance, формирует адрес отправителя в виде %NAMEPC%@mail.ru и пытается отправить сообщения по созданному списку;
    • плагин, загружающий предназначенного для добычи криптовалюты Bitcoin троянца Trojan.BtcMine.148. Он устанавливает Trojan.BtcMine.148 в системе и передает ему необходимые параметры при запуске;
    • модуль, который устанавливает в папку system32\drivers\ вредоносную программу Trojan.Siggen.18257 в виде файла со случайным именем и расширением .sys, после чего запускает его;
    • модуль, реализующий функции http- и socks5-прокси;
    • модуль, предназначенный для формирования и рассылки почтовых сообщений; Использует встроенный скриптовый язык для формирования сообщений и рассылает их по протоколу HTTPS. SSL-шифрование реализовано посредством Microsoft Unified Security Protocol Provider;
    • библиотека для перехвата и анализа трафика на низком уровне, использует для этого специальный драйвер. Ищет в потоке данных информацию, передаваемую по протоколам FTP и SMTP, может подменять адреса и тело сообщений;
    • плагин, обрабатывающий конфигурационные шаблоны и соответствующим образом формирующий их в памяти;
    • модуль, в котором реализован скриптовый язык для создания рассылаемых троянцем писем.



    anti-malware.ru

  2. Реклама
     

Похожие темы

  1. В чипах Intel обнаружен "аппаратный троянец"
    От CyberWriter в разделе Новости компьютерной безопасности
    Ответов: 0
    Последнее сообщение: 19.09.2013, 14:00
  2. Обнаружен очень сложный Android-троянец
    От CyberWriter в разделе Другие новости
    Ответов: 0
    Последнее сообщение: 10.06.2013, 17:30
  3. Обнаружен первый троянец для Linux, похищающий пароли
    От CyberWriter в разделе Новости компьютерной безопасности
    Ответов: 1
    Последнее сообщение: 22.08.2012, 19:18
  4. Ответов: 9
    Последнее сообщение: 01.06.2010, 08:18
  5. Ответов: 6
    Последнее сообщение: 30.05.2010, 14:10

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00645 seconds with 18 queries