Троянец-кликер распространяется под видом программы DynDNS




Как правило, злоумышленники используют несколько традиционных каналов распространения вредоносных программ, в основном – спам-рассылки. Но иногда встречаются и иные подходы к дистрибуции компьютерных угроз, об одном из которых рассказали специалисты компании «Доктор Веб».

Как отмечают эксперты, сам по себе Trojan.Click3.27430 не представляет особого интереса: это обычный троянец-кликер для искусственной накрутки посещаемости веб-сайтов. Гораздо любопытнее метод, используемый злоумышленниками для установки этой вредоносной программы на устройства потенциальных жертв.

Целевая аудитория этого троянца — пользователи программы DynDNS, которая позволяет привязать субдомен к компьютеру, не имеющему статического IP-адреса. Вирусописатель создал в Интернете веб-страницу, с которой якобы можно бесплатно скачать эту программу.

С сайта действительно можно загрузить некий архив. В нем содержится исполняемый файл setup.exe, который на самом деле представляет собой не программу установки DynDNS, а загрузчик. В этом загрузчике хранится имя скачиваемого из Интернета файла, который в исследованном образце называется Setup100.arj.

Несмотря на «говорящее» расширение, Setup100.arj — не ARJ-архив, а исполняемый MZPE-файл, в котором вирусописатель изменил три значения таким образом, чтобы он не распознавался в качестве MZPE автоматизированными средствами анализа и другими приложениями.

В первую очередь с использованием PowerShell он отключает Windows Defender и для большей надежности вносит изменения в записи системного реестра, отвечающие за запуск этой программы.

Затем дроппер сохраняет в папку System32 файлы instsrv.exe, srvany.exe, dnshost.exe и yandexservice.exe. Instsrv.exe, srvany.exe и dnshost.exe — это разработанные Microsoft утилиты для создания в Windows определяемых пользователем служб, а yandexservice.exe — сам троянец Trojan.Click3.27430. Затем дроппер регистрирует исполняемый файл yandexservice.exe, в котором и реализованы все вредоносные функции Trojan.Click3.27430, в качестве службы с именем «YandexService». При этом в процессе установки настраивается автоматический запуск этой службы одновременно с загрузкой Windows. Сохранив на диске и запустив вредоносную службу, дроппер устанавливает настоящее приложение DynDNS.

Таким образом, если впоследствии пользователь решит деинсталлировать его с зараженного компьютера, будет удалена только сама программа DynDNS, а Trojan.Click3.27430 по-прежнему останется в системе и продолжит свою вредоносную деятельность.

Автор: Softodrom.ru
Дата:
» Оставьте первым свой комментарий

Новости > Безопасность > Троянец-кликер распространяется под видом программы DynDNS
Все рубрики статей:
Топ-сегодня: Безопасность
Сноуден посоветовал чиновникам не пользоваться WhatsApp и Telegram
Бывший сотрудник Агентства национальной безопасности США Эдвард Сноуден посоветовал чиновникам не пользоваться WhatsApp и Telegram и назвал более безопасные мессенджеры
Спецпредставитель Путина заявил о превосходстве Telegram над WhatsApp
Ранее Эдвард Сноуден посоветовал чиновникам не пользоваться этими мессенджерами
Как удалить данные без возможности восстановления
Что такое безвозвратное удаление данных, и как удалить данные с компьютера так, чтобы их нельзя было восстановить
МВД Беларуси закрыло крупный русскоязычный хакерский форум
Министерство внутренних дел и Следственный комитет Беларуси закрыли один из крупнейших хакерских форумов Рунета
Файлы из переписки Telegram удалялись не до конца
Разработчики мессенджера Telegram выпустили обновление, устраняющее серьезную угрозу приватности пользователей
Новые статьи: Безопасность
Спецпредставитель Путина заявил о превосходстве Telegram над WhatsApp
Ранее Эдвард Сноуден посоветовал чиновникам не пользоваться этими мессенджерами
Сноуден посоветовал чиновникам не пользоваться WhatsApp и Telegram
Бывший сотрудник Агентства национальной безопасности США Эдвард Сноуден посоветовал чиновникам не пользоваться WhatsApp и Telegram и назвал более безопасные мессенджеры
19% уязвимостей для iOS оказались критическими
В iOS обнаружили почти вдвое больше уязвимостей, чем в Android
Файлы из переписки Telegram удалялись не до конца
Разработчики мессенджера Telegram выпустили обновление, устраняющее серьезную угрозу приватности пользователей
Россия лидирует по числу киберугроз для Android
Эксперты пришли к выводу, что количество уязвимостей Android-устройств уменьшилось, однако доля действительно опасных образцов вредоносного ПО заметно возросла

Статистика | Рейтинги | Авторам | Реклама
Copyright © 1999-2019 Softodrom.ru
О перепечатках | Рассылки | Пользовательское соглашение | Политика конфиденциальности | О проекте | Карта сайта
Яндекс.Метрика 
В Опере нет автоматического способа добавить поиск по Софтодрому.
Чтобы вручную добавить поиск по Софтодрому, нужно сделать следующее:
  1. Нажать Ctrl+F12.
  2. Выбрать вкладку «Поиск».
  3. Нажать «Добавить» (Add).
  4. В появившемся окне:
    1. Заполнить название (Softodrom.ru).
    2. Заполнить адрес: https://www.softodrom.ru/Поиск/?text=%s&qs
      Если нет поля «адрес», то кликнуть на «Подробнее».
    3. Остальные поля заполнить по желанию.
  5. Нажать «ОК».