Троянец-кликер распространяется под видом программы DynDNS





Как правило, злоумышленники используют несколько традиционных каналов распространения вредоносных программ, в основном – спам-рассылки. Но иногда встречаются и иные подходы к дистрибуции компьютерных угроз, об одном из которых рассказали специалисты компании «Доктор Веб».

Как отмечают эксперты, сам по себе Trojan.Click3.27430 не представляет особого интереса: это обычный троянец-кликер для искусственной накрутки посещаемости веб-сайтов. Гораздо любопытнее метод, используемый злоумышленниками для установки этой вредоносной программы на устройства потенциальных жертв.

Целевая аудитория этого троянца — пользователи программы DynDNS, которая позволяет привязать субдомен к компьютеру, не имеющему статического IP-адреса. Вирусописатель создал в Интернете веб-страницу, с которой якобы можно бесплатно скачать эту программу.

С сайта действительно можно загрузить некий архив. В нем содержится исполняемый файл setup.exe, который на самом деле представляет собой не программу установки DynDNS, а загрузчик. В этом загрузчике хранится имя скачиваемого из Интернета файла, который в исследованном образце называется Setup100.arj.

Несмотря на «говорящее» расширение, Setup100.arj — не ARJ-архив, а исполняемый MZPE-файл, в котором вирусописатель изменил три значения таким образом, чтобы он не распознавался в качестве MZPE автоматизированными средствами анализа и другими приложениями.

В первую очередь с использованием PowerShell он отключает Windows Defender и для большей надежности вносит изменения в записи системного реестра, отвечающие за запуск этой программы.

Затем дроппер сохраняет в папку System32 файлы instsrv.exe, srvany.exe, dnshost.exe и yandexservice.exe. Instsrv.exe, srvany.exe и dnshost.exe — это разработанные Microsoft утилиты для создания в Windows определяемых пользователем служб, а yandexservice.exe — сам троянец Trojan.Click3.27430. Затем дроппер регистрирует исполняемый файл yandexservice.exe, в котором и реализованы все вредоносные функции Trojan.Click3.27430, в качестве службы с именем «YandexService». При этом в процессе установки настраивается автоматический запуск этой службы одновременно с загрузкой Windows. Сохранив на диске и запустив вредоносную службу, дроппер устанавливает настоящее приложение DynDNS.

Таким образом, если впоследствии пользователь решит деинсталлировать его с зараженного компьютера, будет удалена только сама программа DynDNS, а Trojan.Click3.27430 по-прежнему останется в системе и продолжит свою вредоносную деятельность.

Автор: Softodrom.ru
Дата:


» Оставьте первым свой комментарий


Новости > Безопасность > Троянец-кликер распространяется под видом программы DynDNS
Все рубрики статей:
Топ-сегодня: Безопасность
Facebook признала утечку фотографий 7 млн пользователей
Соцсеть Facebook начала рассылку уведомлений о возможной утечке всем затронутым пользователям
Как удалить данные без возможности восстановления
Что такое безвозвратное удаление данных, и как удалить данные с компьютера так, чтобы их нельзя было восстановить
Сбербанк начинает сбор биометрических данных клиентов
После сдачи биометрических данных любой житель страны сможет пользоваться услугами банков и государственных учреждений без личного присутствия
Лидер «Шалтая-Болтая» займется борьбой с хакерами
Вполне возможно, что будет использоваться бренд «Шалтая-Болтай» и «Анонимного интернационала»
Как узнать имя пользователя Mail.Ru
Компания Mail.Ru Group хорошо известна своей заботой о приватности пользователей, и поэтому принадлежащие ей соцсети «ВКонтакте» и «Одноклассники» не удаляют удаленные фотографии, а почта не удаляет контакты
Новые статьи: Безопасность
Facebook признала утечку фотографий 7 млн пользователей
Соцсеть Facebook начала рассылку уведомлений о возможной утечке всем затронутым пользователям
Лидер «Шалтая-Болтая» займется борьбой с хакерами
Вполне возможно, что будет использоваться бренд «Шалтая-Болтай» и «Анонимного интернационала»
Сбербанк начинает сбор биометрических данных клиентов
После сдачи биометрических данных любой житель страны сможет пользоваться услугами банков и государственных учреждений без личного присутствия
В App Store нашли фитнес-приложения, крадущие средства со счетов пользователей
Потенциальным жертвам предлагалось отсканировать отпечаток пальца, чтобы запустить улучшенную версию приложения и увидеть персональные рекомендации по питанию, в этот момент подтверждался платеж с помощью Touch ID
Хакеры похитили данные 100 млн аккаунтов Quora
Сайт Quora входит в сотню самых популярных ресурсов Интернета и занимает второе место после Википедии в категории «Словари и энциклопедии»

Статистика | Рейтинги | Авторам | Реклама
Copyright © 1999-2018 Softodrom.ru
О перепечатках | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».