Новая вредоносная рассылка распространяет трояна с кейлоггером




Специалисты компании «Доктор Веб» зафиксировали рассылку спама с целым набором вредоносных модулей, позволяющих шпионить за пользователем и похищать конфиденциальную информацию.

Массовая рассылка вредоносных вложений по электронной почте — один из самых популярных методов распространения троянцев. Злоумышленники стараются составить текст сообщения таким образом, чтобы получатель самостоятельно открыл приложенный к письму файл, что приведет к заражению компьютера.

В течение последних нескольких дней по электронной почте активно распространяются сообщения с темой «Оплату произвели» от имени некоей компании ООО «Глобальные Системы». Письма содержат следующий текст (оригинальные синтаксис и орфография сохранены):

«Добрый день!
Мы произвели оплату 6 апреля, но по какой то причине ответа от вас не получили.
Просим в кратчайшие сроки обработать платеж и предоставить услуги, так как у нас сроки сильно поджимают.
Копию платежки и других документов высылаем в прикрепленном архиве.
Просьба проверить правильность указанных реквизитов в платежке. Может где то была допущена ошибка и деньги не поступили к вам на счет. В связи с этим такая задержка.
С уважением,
ООО «Глобальные Системы»

К письму прилагается архив с именем Платежка от ООО Глобальные Системы 6 апреля 2017 года.JPG.zip размером более 4 МБ. Он содержит исполняемый файл с расширением .JPG[несколько десятков пробелов].exe, добавленный в вирусную базу Dr.Web под именем Trojan.MulDrop7.24844. Если пользователь попытается открыть это «изображение», программа запустится на выполнение.

Приложение представляет собой упакованный контейнер, который создан с использованием возможностей языка Autoit. В момент старта эта программа проверяет, что она запущена в единственном экземпляре, а затем сохраняет на диск библиотеку для обхода системы контроля учетных записей пользователя (UAC, User Account Control) в 32- и 64-разрядных версиях Windows и несколько других файлов. Затем Trojan.MulDrop7.24844 регистрирует себя в автозагрузке: в Windows XP — путем модификации системного реестра, в более современных версиях Windows — при помощи Планировщика задач. Также троянец пытается извлечь и сохранить в текстовом файле пароли из браузеров Google Chrome и Mozilla Firefox.

Один из компонентов, который Trojan.MulDrop7.24844 запускает на зараженном компьютере, — приложение для удаленного администрирования, детектируемое Антивирусом Dr.Web как Program.RemoteAdmin.753.

Другой компонент троянца также представляет собой зашифрованный Autoit-контейнер с именем xservice.bin, извлекающий на диск два исполняемых файла. Эти программы являются 32- и 64-разрядной версиями утилиты Mimikatz, которая предназначена для перехвата паролей открытых сессий в Windows. Файл xservice.bin может быть запущен с различными ключами, в зависимости от которых он выполняет на инфицированном компьютере те или иные действия.

Также это приложение активирует кейлоггер, записывающий в файл информацию о нажатых пользователем клавишах, и создает в момент запуска снимок экрана.

Троянец открывает злоумышленникам удаленный доступ к зараженной машине по протоколу RDP (Remote Desktop Protocol). Для этого он скачивает с сервера Github и устанавливает на инфицированном компьютере программу Rdpwrap с параметрами, обеспечивающими ее запуск в скрытом режиме. Она детектируется Антивирусом Dr.Web как Program.Rdpwrap. Затем Trojan.MulDrop7.24844 с помощью ранее сохраненной на диске утилиты Mimikatz пытается получить пароль от учетной записи текущего пользователя, который сохраняется в системном реестре. Этот пароль в дальнейшем используется для организации связи с зараженным ПК. В результате такого несанкционированного подключения злоумышленники могут получить полный контроль над атакованным компьютером.

Сигнатура Trojan.MulDrop7.24844 добавлена в вирусную базу Dr.Web. Специалисты компании «Доктор Веб» призывают владельцев устройств, работающих под управлением Microsoft Windows, проявлять бдительность и не открывать подозрительные вложения в электронных письмах.
Автор: Softodrom.ru
Дата: 13.04.2017


» Оставьте первым свой комментарий

Новости > Безопасность > Новая вредоносная рассылка распространяет трояна с кейлоггером
Все рубрики Новостей:
Топ-сегодня раздела Безопасность
Вопросы безопасности при использовании VPN
У пользователей возникают заблуждения, которые не отражают реального положения дел
В московском метро объявили воздушную тревогу
В социальных сетях москвичи начали сообщать о том, что в метрополитене звучат оповещения о воздушной тревоге и предупреждения, что все эскалаторы работают только на спуск
Интернет-трафик десятков зарубежных компаний подвергся вмешательству в России
Большие массивы сетевого трафика были направлены через контролируемый российским правительством телекоммуникационный канал
Российский разработчик ПО «Стахановец» опроверг заявление СБУ о «шпионском» функционале
Заявление Службы безопасности Украины о наличии «шпионского» функционала у российского программного комплекса «Стахановец» и передаче данных ФСБ России не соответствует действительности
Утекли хакерские инструменты АНБ для взлома Windows всех версий, кроме Windows 10
Хакерская группа The Shadow Brokers выложила в открытый доступ инструменты Агентства национальной безопасности (АНБ) США для взлома операционных систем семейства Windows
Новинки раздела Безопасность
Вопросы безопасности при использовании VPN
У пользователей возникают заблуждения, которые не отражают реального положения дел
В московском метро объявили воздушную тревогу
В социальных сетях москвичи начали сообщать о том, что в метрополитене звучат оповещения о воздушной тревоге и предупреждения, что все эскалаторы работают только на спуск
Интернет-трафик десятков зарубежных компаний подвергся вмешательству в России
Большие массивы сетевого трафика были направлены через контролируемый российским правительством телекоммуникационный канал
Российский разработчик ПО «Стахановец» опроверг заявление СБУ о «шпионском» функционале
Заявление Службы безопасности Украины о наличии «шпионского» функционала у российского программного комплекса «Стахановец» и передаче данных ФСБ России не соответствует действительности
СБУ заявила об использовании российского шпионского ПО украинскими компаниями
Служба безопасности Украины заявила, что восемь украинских компаний использовали и продавали «запрещенное шпионское программное обеспечение российского производства»
Copyright © 1999-2017 Softodrom.ru
О перепечатках | RSS каналы | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».