В мае продолжилось распространение программ-вымогателей, отмечается в опубликованном компанией "Доктор Веб" обзоре вирусной активности за май 2009 года. При этом оттачиваются методы социальной инженерии, создаются инструменты, которые облегчают деятельность мошенников.

В последние годы создание вредоносных программ с деструктивным функционалом полностью перешло на коммерческую основу. Таким образом, выделился новый класс вирусных угроз - "программы-вымогатели".

Распространение подобного вредоносного ПО началось в 2005 году. С этого времени пошло распространение троянцев, которые с помощью различных алгоритмов шифровали документы пользователей, а для расшифровки предлагали связаться с авторами вредоносной программы.

Позже в сообщениях, встраиваемых в данные программы, явным образом сообщалось о размере выкупа и о способах его отправки.

Несмотря на то, что троянцы, блокирующие доступ к Windows, получили существенное распространение в текущем году, первые образцы подобных программ (Trojan.Winlock) появились одновременно с программами-шифровальщиками в том же 2005-м.

Так, один из первых экземпляров Trojan.Winlock запрашивал отправку выкупа через платежную систему "Яндекс.Деньги".

Следующим шагом в упрощении злоумышленниками методов незаконного получения денег стал выбор в пользу платных смс-сообщений, которые могли бы отправлять жертвы из разных стран мира, используя различных операторов связи.

Пользователи сервиса микроблоггинга Twitter за последние сутки стали жертвами сразу двух различных атак сетевых мошенников, охотящихся за пользовательскими данными. Модель обеих атак схожа - злоумышленники пытаются заполучить контроль над учетной записью пользователя, а затем использовать людей из списка его друзей в качестве жертв.

Ранее жертвами подобных атак становились и Facebook, MySpace, Одноклассники и другие сети. "Социальные сети становятся все более привлекательным объектом для атак. Фишеры и спамеры действительно переходят на атаки данных ресурсов из-за их популярности, а также из-за того, что системы защиты большинства из них оставляют желать лучшего", - говорит технический директор компании Cloudmark Джейми Де Гуэрре.

Эксперты научно-исследовательской компании Damballa объявили об обнаружении в сети пиратской сборки дистрибутива Windows 7 RC1, содержащего в себе Троян, предназначенный для создания хакерских ботнетов.

По данным компании, первые ПК в новой сети появились еще 24 апреля, а с первых чисел мая расширение сети идет со скоростью несколько сотен новых компьютеров в час.

10 мая Damballa зафиксировала и появление в сети командного сервера, передававшего управленческие команды взломанными компьютерам. Сейчас сеть, созданная на основе троянской программы, внедренного в пиратскую сборку Windows 7 RC, разрослась до 27 000 компьютеров.

Как сообщила газета The Washington Post, в начале апреля произошел массовый выход из строя компьютеров, зараженных троянцем Zeus/Zbot.

Около 100’000 компьютеров с операционной системой Windows по всему миру оказались приведены в состояние так называемого «синего экрана смерти» (BSOD – Blue Screen Of Death) по команде с управляющего сервера ботнет-сети Zeus.

Основная функция ботнетов в руках киберпреступников заключается в похищении персональных данных и выполнении скоординированных атак на отказ в обслуживании.

Тем не менее, ботнет Zeus, в отличие от некоторых других технологических платформ для создания ботнетов, содержит встроенную команду «KOS» - «Kill Operating System». По сообщениям эксперта по борьбе с ботнетами Романа Хeсси (Roman Hüssy) из Швейцарии, платформу Zeus активно продают на форумах киберпреступников по 700 долларов, причем с документацией.

Троянец Zeus/Zbot отличается одной неприятной особенностью – борьбу с ним затрудняет тот факт, что каждая установленная копия троянца отличается уникальной структурой, так что к нему трудно подобрать единую сигнатуру.

Тысячи компьютеров Mac были заражены троянской программой, которая объединила их в первый в мире Зомби-сеть на платформе Apple. Эксперты считают, что киберпреступникам стало тесно в рамках Windows.

Впервые стала известна попытка создать сеть инфицированных Mac-компьютеров. В январе 2009 г. через торрент-сети вместе с пиратскими версиями набора офисных приложений Apple iWork’09 и графическим редактором Adobe Photoshop CS4 начала распространяться троянская программа OSX.Iservice.

Создаваемая с ее помощью бот-сеть получила имя iBotnet. Скачанные приложения нормально функционируют, но наделены дополнительными возможностями удаленного управления в создаваемой peer-to-peer сети.

Как правило, коммерческое применение таких сетей состоит заказной в рассылке спама, организации атак по типу распределенного отказа в обслуживании (DDoS) или кражи конфиденциальной информации.

В апреле Virus Bulletin опубликовал статью исследователей из ирландского отделения Symantec, в которой говорится о попытке организации с помощью iBotnet DDoS-атаки на веб-сайт.

Если в подобных Windows-сетях число инфицированных ПК может исчисляться миллионами, а десятки тысяч компьютеров – это рядовое событие, то у OSX.Iservice дела пока что обстоят скромнее. Учёные говорят о нескольких тысячах инфицированных машин до того, как троянская программа была идентифицирована.

Компания «Dr Web» информирует о крупномасштабной эпидемии сразу нескольких модификаций Trojan.Blackmailer, которая началась в конце марта 2009 года и продолжается до настоящего времени. С 31 марта наблюдается значительное присутствие даннойзловредной программы среди обнаруженных инфицированных файлов. Речь может идти о миллионах заражённых компьютеров.

С начала распространения новых модификаций Trojan.Blackmailer специалистами компании "Dr Web" были оперативно добавлены соответствующие записи в вирусную базу, и на данный момент пользователи антивируса Dr.Web надёжно защищены от данного троянца.

Данный троянец представляет из себя плагин к браузеру Internet Explorer с рекламой порно-сайтов, который отображается при посещении любого интернет-ресурса. Таким образом он постоянно напоминает о себе пользователям.

В то же время, данную программу практически невозможно удалить стандартными средствами - для деинсталляции злоумышленники предлагают пользователям отправить SMS-сообщение, а затем ввести полученный код.

Бесплатная утилита для лечения компьютеров от вирусов, руткитов, троянских программ, шпионского ПО и разного рода вредоносных объектов, так как утилита cодержит самый последний набор дополнений к вирусной базе Dr.Web и обновляется один или несколько раз в час.

Dr.Web CureIt! не требует установки, не конфликтует ни с одним антивирусом, а значит, на время сканирования не требуется отключать установленный антивирус другого производителя.

PandaLabs, лаборатория по обнаружению и анализу вредоносных программ компании Panda Security, обнаружила новый вредоносный код Banker.LSL, который использует видео с пасхальной тематикой для заражения пользователей с последующей кражей денег с их счетов в интернет-банках.

Во время запуска показывается видео, в то время как на компьютер пользователя устанавливается вредоносная программа. Троян Banker.LSL специально разработан для кражи паролей доступа к банковским онлайн-сервисам.

Компания «Лаборатория Касперского» подвела итоги анализа активности вредоносных программ во Всемирной сети в прошлом месяце.

Статистика «Лаборатории Касперского» формируется на основе данных, собранных в ходе работы антивирусного продукта компании версии 2009. В рейтинг попадают те вредоносные, рекламные и потенциально опасные программы, которые были детектированы на компьютерах пользователей.

Компания «Доктор Веб» сообщила о появлении новой угрозы в закрытых сетях банкоматов некоторых российских банков. По информации CNews, речь идет о трех банках – «Петрокоммерц» и «Росбанк». Масштабы заражения не известны.

Также источник CNews назвал среди банков, чьи банкоматы могли быть заражены, «Бинбанк». Однако, в пресс-службе «Бинбанка» опровергли эту информацию, сообщив, что ранее и на сегодняшний день в их банкоматах не были обнаружены вирусы.

Уникальность обнаруженного вируса состоит в его способности перехватывать данные о банковских картах пользователей, которые ранее пользовались зараженным банкоматом. Тем самым, с помощью полученной информации злоумышленники получают возможность уводить со счетов людей все деньги, которыми они располагают, говорится в сообщении компании «Доктор Веб».

Банкоматы и раньше подвергались вирусным атакам, однако в худшем случае они могли привести к некорректной работе данных устройств. Появившийся недавно вирус действует иначе и, по оценкам экспертов «Доктор Веб», способен нанести серьезный ущерб клиентам российских банков, которые используют банкоматы.

Описание:
Trojan.Wincod - отображает разные сообщении и изменяет настройки, подставляя под угрозу инфицированный компьютер.

Тип вредоносной программы:
троян

ОС подверженные заражению:
Windows XP, Windows Vista, Windows Server 2003, Windows 2000

Уровень опасности:
низкий

Размер:
57,344 байт

Технические детали:
При запуске, создает файлы:
▪ %ProgramFiles%\MediaSystem\1.gif
▪ %ProgramFiles%\MediaSystem\wall.html
▪ %ProgramFiles%\MediaSystem\wmptray.exe

Создает следующую запись реестра, для того чтобы запускатся автоматически при старте Windows:
▪ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"WmpTray" = "[ПУТЬ К ТРОЯНУ]"

Затем он создает запись реестра, которая открывает веб страницу, при попытке запускать диспетчер задач:
▪ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\"Debugger" = "http://wincodecpro.com/purchase.php?id=2"

Для того чтобы считать сколько раз был выполнен троян, он создает следующую запись реестра:
▪ HKEY_LOCAL_MACHINE\SOFTWARE\GenericMultiMedia\WinCoDecPRO\"countr" = "[ЧИСЛО]"

Далее он создает следующие подразделы реестра:
▪ HKEY_LOCAL_MACHINE\SOFTWARE\GenericMultiMedia
▪ HKEY_LOCAL_MACHINE\SOFTWARE\GenericMultiMedia\WinCoDecPRO