Троянская программа Bicololo направлен на российские соцсети

Тема в разделе "Новости и статьи IT безопасности", создана пользователем 0eck, 15 авг 2013.

↑ ↓
  1. 0eck Заблокирован
    0eck
    Ответить в чате

    Заблокирован

    Регистрация:
    05.01.2013
    Сообщения:
    4.339
    Симпатии:
    17.573
    Пол:
    Мужской
    Репа:
    +17.638 / 20 / -26
    Компания ESET сообщает новые подробности о троянской программе Win32/Bicololo, нацеленной на пользователей российских социальных сетей. Напомним, что Win32/Bicololo.A – троян, целью которого является кража персональных данных интернет-пользователей. Данная угроза распространяется под видом ссылок на графические файлы с расширением .jpg. При активации подобной ссылки вместо изображения загружается троянец.
    Попав на компьютер, вредоносная программа модифицирует системный файл hosts, чтобы при попытке пользователя зайти на определенный легальный сайт, тайно перенаправлять его на фальшивую страницу, принадлежащую злоумышленникам. Вся информация, введенная пользователем на такой странице, автоматически попадает к злоумышленникам.

    В файле hosts, модифицированном программой Win32/Bicololo, были обнаружены ссылки на сайты «Одноклассники» и «Вконтакте», а также на портал Mail.ru – т.е. угроза нацелена на пользователей именно этих ресурсов.

    Следует отметить, что, хотя измененный файл hosts содержит адреса мобильных версий сайтов (m.ok.ru, m.vk.com и др.), угроза Win32/Bicololo не распространяется на мобильные платформы и рассчитана только на семейство операционных систем Windows.

    Эксперты ESET обнаружили образцы описываемой модификации Win32/Bicololo в один день в четырех разных странах: Аргентине, Бразилии, Колумбии и Чили. Именно поэтому сначала предполагалось, что эта угроза имеет латиноамериканское происхождение.
    Тем не менее, детальный анализ угрозы подтверждает ее российские корни: в коде Win32/Bicololo встречаются комментарии на русском языке. Кроме того, в одном из файлов, создаваемых вредоносной программой, была обнаружена фраза «стою у трапа самолета». Это строка из песни «Аэропорт» 1987 года, которую исполнял Александр Барыкин.

    По данным экспертов ESET, сайты с доменами .ar, .br, .cl и .co, использованные для размещения вредоносного ПО, являются вполне легальными ресурсами. Они специально были заражены программами-взломщиками с целью распространения данной модификации Win32/Bicololo. Скорее всего, эти сайты были обнаружены злоумышленниками путем автоматического сканирования на предмет уязвимостей.

    Кроме того, в своей схеме кибератаки преступники использовали два сервера. На одном были размещены фальшивые аналоги главных страниц «Вконтакте», «Одноклассники» и Mail.ru, второй использовался для связи с вредоносной программой. Эти сервера могли быть арендованы или взломаны киберпреступниками. Судя по IP-адресам, они расположены за пределами Латинской Америки.

    В 2013 году семейство троянов Win32/Bicololo неизменно попадает в рейтинг наиболее распространенных в России вредоносных программ, ежемесячно составляемый аналитиками ESET.
    Необходимо отметить, что различные модификации Bicololo могут распространяться разными способами, маскируясь под легальные приложения или файлы. Компания ESET рекомендует соблюдать осторожность, не открывать ссылки в незапрошенных сообщениях и не отключать антивирусное ПО.
     
    • Мне нравится Мне нравится x 3
  2. X-Shar :)
    X-Shar
    Ответить в чате

    Администрация

    Регистрация:
    03.06.2012
    Сообщения:
    5.807
    Симпатии:
    426
    Пол:
    Мужской
    Репа:
    +959 / 152 / -29
    Jabber:
    Skype:
    ICQ:

    638294628

    Здесь практически каждый день какие-то боты пытаются сбрутить админку, причём по тупому
    по адресу admin.php Dmeh-Smeh-Smeh!!! O-O-O88

    И ещё про автоматическое сканирование на предмет уязвимостей, провёл эксперимент, есть у меня почти двухлетний домен, хотел как-то создать небольшой портальчик на WordPress, но что-то не пошло в этоге проект забросил, но домен остался, сделал на него заглушку, т.е. html страничка с надписью "Сайт находиться в разработке...", вы бы видели логи...

    Чуть-ли не каждый день кто-то пытался сбрутить пароль admin.php, проверка на уязвимости WordPress и на другие движки, так-блин я обхахатался, это-же обычная заглушка !Отдыхай!!!

    Ясно, что боты, вот только я этот домен практически нигде не размещал, на двух форумах, да и сайт тогда просуществовал от силы месяца два-три.

    Это кстати для тех, кто думает "А кому я нах. нужен, кто мой сайт будет ломать", я тоже раньше так думал и за что несколько раз поплатился, будут и ещё-как, особенно если тематика сайта IT и т.д.

    А автоматические боты которые ищут и проверяют сайты на уязвимости сейчас ОЧЕНЬ актуальны, даже на малопосещаемых проектах, нужно серьёзно ко всему этому подходить ! ;)
     
    • Мне нравится Мне нравится x 3

Поделиться этой страницей