Новая вредоносная рассылка распространяет трояна с кейлоггером






Специалисты компании «Доктор Веб» зафиксировали рассылку спама с целым набором вредоносных модулей, позволяющих шпионить за пользователем и похищать конфиденциальную информацию.

Массовая рассылка вредоносных вложений по электронной почте — один из самых популярных методов распространения троянцев. Злоумышленники стараются составить текст сообщения таким образом, чтобы получатель самостоятельно открыл приложенный к письму файл, что приведет к заражению компьютера.

В течение последних нескольких дней по электронной почте активно распространяются сообщения с темой «Оплату произвели» от имени некоей компании ООО «Глобальные Системы». Письма содержат следующий текст (оригинальные синтаксис и орфография сохранены):

«Добрый день!
Мы произвели оплату 6 апреля, но по какой то причине ответа от вас не получили.
Просим в кратчайшие сроки обработать платеж и предоставить услуги, так как у нас сроки сильно поджимают.
Копию платежки и других документов высылаем в прикрепленном архиве.
Просьба проверить правильность указанных реквизитов в платежке. Может где то была допущена ошибка и деньги не поступили к вам на счет. В связи с этим такая задержка.
С уважением,
ООО «Глобальные Системы»

К письму прилагается архив с именем Платежка от ООО Глобальные Системы 6 апреля 2017 года.JPG.zip размером более 4 МБ. Он содержит исполняемый файл с расширением .JPG[несколько десятков пробелов].exe, добавленный в вирусную базу Dr.Web под именем Trojan.MulDrop7.24844. Если пользователь попытается открыть это «изображение», программа запустится на выполнение.

Приложение представляет собой упакованный контейнер, который создан с использованием возможностей языка Autoit. В момент старта эта программа проверяет, что она запущена в единственном экземпляре, а затем сохраняет на диск библиотеку для обхода системы контроля учетных записей пользователя (UAC, User Account Control) в 32- и 64-разрядных версиях Windows и несколько других файлов. Затем Trojan.MulDrop7.24844 регистрирует себя в автозагрузке: в Windows XP — путем модификации системного реестра, в более современных версиях Windows — при помощи Планировщика задач. Также троянец пытается извлечь и сохранить в текстовом файле пароли из браузеров Google Chrome и Mozilla Firefox.

Один из компонентов, который Trojan.MulDrop7.24844 запускает на зараженном компьютере, — приложение для удаленного администрирования, детектируемое Антивирусом Dr.Web как Program.RemoteAdmin.753.

Другой компонент троянца также представляет собой зашифрованный Autoit-контейнер с именем xservice.bin, извлекающий на диск два исполняемых файла. Эти программы являются 32- и 64-разрядной версиями утилиты Mimikatz, которая предназначена для перехвата паролей открытых сессий в Windows. Файл xservice.bin может быть запущен с различными ключами, в зависимости от которых он выполняет на инфицированном компьютере те или иные действия.

Также это приложение активирует кейлоггер, записывающий в файл информацию о нажатых пользователем клавишах, и создает в момент запуска снимок экрана.

Троянец открывает злоумышленникам удаленный доступ к зараженной машине по протоколу RDP (Remote Desktop Protocol). Для этого он скачивает с сервера Github и устанавливает на инфицированном компьютере программу Rdpwrap с параметрами, обеспечивающими ее запуск в скрытом режиме. Она детектируется Антивирусом Dr.Web как Program.Rdpwrap. Затем Trojan.MulDrop7.24844 с помощью ранее сохраненной на диске утилиты Mimikatz пытается получить пароль от учетной записи текущего пользователя, который сохраняется в системном реестре. Этот пароль в дальнейшем используется для организации связи с зараженным ПК. В результате такого несанкционированного подключения злоумышленники могут получить полный контроль над атакованным компьютером.

Сигнатура Trojan.MulDrop7.24844 добавлена в вирусную базу Dr.Web. Специалисты компании «Доктор Веб» призывают владельцев устройств, работающих под управлением Microsoft Windows, проявлять бдительность и не открывать подозрительные вложения в электронных письмах.
Автор: Softodrom.ru
Дата: 13.04.2017


» Оставьте первым свой комментарий


Новости > Безопасность > Новая вредоносная рассылка распространяет трояна с кейлоггером
Все рубрики Новостей:
Топ-сегодня раздела Безопасность
В список экстремистских материалов впервые включили видео из сообщения мессенджера
Мессенджерам потребовалось 10 лет на признание сообщений в них экстремизмом
Безопасность Telegram назвали маркетингом Дурова
Дуров никогда не открывал исходный код своей криптографии, поэтому нет никаких оснований думать, что Telegram безопасней, чем другие мессенджеры
Программиста Левашова заочно арестовали в России
Обвиняемый в США в хакерстве программист Петр Левашов ранее заявил, что работал на «Единую Россию»
Майнер криптовалюты Coinhive идет навстречу пользователям
Coinhive позволяет монетизировать трафик сайтов, встраивая в код браузера майнер для популярной криптовалюты Monero
Рогозин о закупках иностранного софта: мы просто бомбу затаскиваем в собственный дом
Да и просто никто не отменял промышленный шпионаж, поэтому это просто глупо
Новинки раздела Безопасность
В список экстремистских материалов впервые включили видео из сообщения мессенджера
Мессенджерам потребовалось 10 лет на признание сообщений в них экстремизмом
Майнер криптовалюты Coinhive идет навстречу пользователям
Coinhive позволяет монетизировать трафик сайтов, встраивая в код браузера майнер для популярной криптовалюты Monero
Программиста Левашова заочно арестовали в России
Обвиняемый в США в хакерстве программист Петр Левашов ранее заявил, что работал на «Единую Россию»
Безопасность Telegram назвали маркетингом Дурова
Дуров никогда не открывал исходный код своей криптографии, поэтому нет никаких оснований думать, что Telegram безопасней, чем другие мессенджеры
Русский киберпреступник внедрил майнер Monero в мод для GTA и хвастался в соцсетях
Злоумышленник не особенно старался замести следы и хвастался в социальных сетях своими успехами, благодаря чему специалистам удалось выяснить его имя и место проживания
Copyright © 1999-2017 Softodrom.ru
О перепечатках | RSS каналы | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».