червь Koobface.LP распространяется через прямые сообщения в Твиттер

Тема в разделе "Обзоры новых вирусов", создана пользователем Rafail, 2 дек 2012.

↑ ↓
  1. Rafail Гость
    Rafail
    Ответить в чате

    Репа:
    +0 / 0 / -0
    Пользователи получают прямое сообщение Twitter со ссылкой на предполагаемое видео, где Президент США Барак Обама бьет человека. Фактически это ссылка на ложную страницу «Facebook», приспособленная для кражи данных пользователей Twitter и загрузки червя.
    Антивирусная лаборатория PandaLabs компании Panda Security, производителя «облачных» решений безопасности, ведущего поставщика программ защиты от вредоносного программного обеспечения и вирусов, в ноябре обнаружила новую спам-кампанию в Twitter, которая угрожает безопасности пользователя. Пользователи получают прямое сообщение Twitter, которое содержит текст «Посмотрите, как Обама бьет человека в лицо за то, что тот назвал его нигером», а также вредоносную ссылку на ложную страницу Facebook.
    [​IMG]
    Если пользователь нажимает на ссылку, то ему открывается поддельная страница Facebook, где предлагается оставить свои регистрационные данные для входа в Twitter. Если пользователь вводит свои регистрационные данные, то вредоносная программа перехватывает его аккаунт и рассылает такое же вредоносное сообщение по всем его контактам.
    [​IMG]
    Затем пользователь перенаправляется на веб-сайт, который демонстрирует поддельное видео из YouTube на фоне ложного Facebook. А в это время жертве предлагается обновить свой «проигрыватель YouTube» для просмотра видео. Как обычно бывает при подобном виде мошенничества, если пользователь нажимает на кнопку «Установить» («Install»), то он сам себе начинает загружать червяKoobface.LP, который инфицирует его компьютер и осуществить кражу всех его персональных данных.
    [​IMG]
    Затем пользователь перенаправляется на веб-сайт, который демонстрирует поддельное видео из YouTube на фоне ложного Facebook. А в это время жертве предлагается обновить свой «проигрыватель YouTube» для просмотра видео. Как обычно бывает при подобном виде мошенничества, если пользователь нажимает на кнопку «Установить» («Install»), то он сам себе начинает загружать червя Koobface.LP, который инфицирует его компьютер и осуществить кражу всех его персональных данных.
    «Данная атака использует давно завоевавшие доверие Facebook и Twitter для обмана пользователей, которые уверены в том, что просматривают именно эти надежные сайты, – говорит Луис Корронс, Технический директор PandaLabs. – Расчет на простое человеческое любопытство: для этого используется скандальная история, связанная с расизмом и Бараком Обамой. Киберпреступники знают, что люди падки на скандалы, и это помогает обмануть пользователей и инфицировать их компьютеры».

    Прямые сообщения Twitter – еще одна техника для распространения вредоносных инфекций.

    Это всего лишь один из последних примеров того, как киберпреступники используют прямые сообщения Twitter для распространения угроз. Аккаунты пользователей получают десятки подобных сообщений каждый день с вредоносными ссылками и заманчивыми сообщениями типа: «Как думаешь, что ты делаешь на этом видео?», «Привет, этот парень распространяет о тебе плохие слухи...», «Ты видел свою фотку?», и т.д.

    «Никогда не нажимайте на ссылки внутри текста в подобных сообщениях, поскольку они могут инфицировать Ваш компьютер, – объясняет Корронс. – Каждый раз, когда Вы получаете прямое сообщение, Вам следует проверить, действительно ли этот отправитель посылал Вам это сообщение. Убедитесь, что это не автоматически перенаправленное Вам письмо со взломанной учетной записи. Возьмите себе за правило всегда держать свое антивирусное ПО обновленным, а также будьте осторожны с различными сообщениями о сенсационных видео или увлекательных историях, так как в 99 % случаев они созданы для нарушения безопасности пользователя».
     
    • Мне нравится Мне нравится x 1
  2. Rafail Гость
    Rafail
    Ответить в чате

    Репа:
    +0 / 0 / -0
    о троянцах-шифровальщиках
    С октября наблюдается резкий всплеск активности троянов-шифровальщиков – от пользователей в антивирусную лабораторию «ВирусБлокАда» поступает значительное число запросов на восстановление файлов, подвергшихся воздействию вредоносных программ.
    Троян-шифровальщик представляет собой вредоносную программу, которая попав на компьютер пользователя, находит его личные файлы и зашифровывает их, после чего предлагает пользователю заплатить определенную сумму посредством мобильных платежей либо виртуальных кошельков. В сообщении злоумышленников говорится, что после оплаты пользователь получит код, позволяющий расшифровать пользовательские файлы, однако никаких гарантий естественно, никто не дает. Более того: практика показывает, что большая часть пострадавших так и не получают свой заветный код. Под шифровку могут попасть фотографии, видеозаписи, музыка, документы, архивы и даже конфигурации с базами 1С.

    Юрий Резников, руководитель группы технической поддержки ОДО «ВирусБлокАда»:

    «Данные вредоносные программы шифруют файлы и выводят на экран пользователя сообщение о том, что для разблокировки требуется перевести определенную сумму на мошеннический счет, иногда для получения номера счета предварительно необходимо отправить запрос на e-mail. После оплаты злоумышленниками присылаются нерабочие ключи, либо чаще всего не присылается вообще ничего. Расшифровать какой-либо файл, не зная оригинального ключа, весьма затруднительная задача. Особую опасность трояны-шифровальщики представляют для коммерческих организаций, поскольку, например, потерянные данные баз данных могут приостановить работу фирмы на неопределенное время»

    Комментарии Александра Изотова, вирусного аналитика компании «ВирусБлокАда»:

    «Основными признаками того, что на вашем компьютере появился троян-шифровальщик является смена расширений файлов, таких, как музыкальные файлы, файлы изображений и т.д., при попытках открытия которых появляется сообщение от злоумышленников с требованием оплаты за получение дешифровщика. Возможны изменение фонового рисунка рабочего стола, появление текстовых документов и окон с соответствующими сообщениями о шифровке, о необходимости легализации ПО и тому подобное.

    Приведу пример одного из случаев из нашей трудовой деятельности в антивирусной лаборатории. На терминальном сервере оказались зашифрованными ряд файлов. Злоумышленниками была использована брутфорс атака на порты протокола RDP, вследствие чего ими был установлен полный контроль над системой (протокол RDP используется для удаленного доступа к Windows системам).

    После попадания на систему, выполняется поиск файлов с расширениями .doc, .mp3, .jpg, .xls. В директорию с найденными файлами происходит копирование вполне легальной программы-шифровальщика, например, lockdir.exe, с внесением в реестр данных этой программы (в данной ситуации имеет место использование легитимного софта, запущенного нелегитимным методом). После этого шага запускается процесс шифровки файлов, с установкой случайно сгенерированного пароля. Оригинальные файлы шифруются, после чего перемещаются в скрытую директорию, где хранятся с расширением ***.RN, где *** – имя файлов в шестнадцатеричном представлении. В директории с оригинальными файлами находится картинка с сообщением о том, что для разблокировки файлов пользователю необходимо приобрести пакет легализации ПО.
    [​IMG]
    Для скрытия присутствия на сервере злоумышленники использовали программу, очищающую системный журнал Windows, в которой кроме всего прочего предусмотрен функционал запуска по расписанию, разлогинившись с терминала программа запускает очистку следов своего присутствия в системе.

    Файлы шифруются одним из современных алгоритмов шифрования BlowFish, расшифровка файлов «в лоб» после обработки шифровальщиками, не зная ключа, может занять до нескольких лет.

    Cпособы защиты от троянов-шифровальщиков для обычных пользователей достаточно сложны, так как необходимы настройки политик безопасности или HIPS (системы предотвращения вторжений), разрешающие доступ к файлам только определенным приложениям и не дают 100% защиты при таких случаях, когда вредоносная программа внедряется в адресное пространство доверенного приложения.»
    Если вы стали жертвой шифровальщиков, необходимо знать следующее:

    - не стоит отправлять деньги мошенникам – это в большинстве не поможет вернуть вашу информацию;

    - не пытайтесь переустановить операционную систему и не удаляйте никаких файлов и почтовых сообщений на вашем компьютере;

    - опытный специалист, с большой долей вероятности, сможет расшифровать закодированные трояном-шифровальщиком файлы. Обращайтесь в антивирусную лабораторию компании, в которой есть подразделение вирусных аналитиков, занимающихся данной проблемой;

    - не запускайте никаких «чистильщиков» временных файлов и реестра;

    - не следует сканировать и лечить компьютер антивирусами и антивирусными утилитами, а тем более антивирусными LiveCD, в крайнем случае можно переместить зашифрованные файлы в карантин антивируса;

    - не забывайте о резервном копировании своих важных файлов на съемные носители. При этом если таким носителем является внешний жесткий диск или флеш-накопитель, данные носители должны подключаться к компьютеру только на время резервного копирования и быть отключенными все остальное время. Для большей безопасности резервное копирования можно проводить, загрузившись с LiveCD.
     
    • Мне нравится Мне нравится x 1
  3. Rafail Гость
    Rafail
    Ответить в чате

    Репа:
    +0 / 0 / -0
    Trojan.Winlock.7482
    28 ноября в вирусные базы «Доктор Веб» был добавлен очередной троянец-блокировщик под именем Trojan.Winlock.7482.
    В общем-то довольно примитивный вымогатель: прописывается в ветку реестра, относящуюся к winlogon и в ветку автозагрузки, блокирует запуск процессов explorer.exe, regedit.exe, популярных браузеров, не позволяет открыть окна cmd и msconfig.
    Но при этом без проблем дает запустить тот же FAR. Текст блокирующего окна хранит в собственном исполняемом файле. В общем, все вполне традиционно, если бы не одно «но»: троянец перехватывает видеопоток с подключенной к инфицированному компьютеру веб-камеры и демонстрирует изображение в специально созданном экземпляре окна webCam — с целью попугать пользователя.
    [​IMG]
    Видимо, это какой-то модный тренд среди вирусописателей - за последние недели было обнаружено несколько программ-вымогателей со схожим функционалом. При этом, судя по количеству ошибок в тексте, троянец, вероятно, является чьей-то контрольной работой по школьному курсу программирования. Злодеи, кстати, требуют за разблокировку системы аж целых 2000 рублей (и губозакаточную машинку).
     
    • Мне нравится Мне нравится x 2
  4. Ворошилов Форумчанин
    Ворошилов
    Ответить в чате

    VIP

    Регистрация:
    21.08.2012
    Сообщения:
    27
    Симпатии:
    31
    Репа:
    +33 / 0 / -0
    Чё-то не разу не слышал, это антивирусная компания ?
     
  5. Rafail Гость
    Rafail
    Ответить в чате

    Репа:
    +0 / 0 / -0
    Да, это Белорусская антивирусная компания, вот оф.сайт: http://www.anti-virus.by/
     
    • Мне нравится Мне нравится x 1

Поделиться этой страницей