Троянец-вандал для Android форматирует карту памяти и препятствует общению пользователей

На заре становления массового рынка персональных компьютеров большинство вредоносных программ создавалось с целью развлечения или бахвальства, а не для получения материальной выгоды. Однако постепенно интерес вирусописателей все больше смещался в сторону незаконного заработка, и в настоящее время среди огромного числа распространяемых информационных угроз сложно встретить троянца, который создавался бы с иной целью. Тем интереснее для вирусных аналитиков компании «Доктор Веб» было получить в свое распоряжение такую редкую и необычную угрозу, которая, ко всему прочему, предназначена для работы не на компьютерах, а на смартфонах и планшетах под управлением ОС Android. Вместе с тем, несмотря на всю свою академическую ценность, новая вредоносная программа представляет для пользователей весьма серьезную опасность, т. к. она удаляет все имеющиеся на карте памяти данные, не позволяет прочитать входящие СМС-сообщения, а также мешает нормальному общению в популярных программах-мессенждерах, блокируя их окна.

Новый Android-троянец, внесенный в вирусную базу компании «Доктор Веб» под именем Android.Elite.1.origin, является представителем весьма редкого типа вредоносных программ, относящихся к классу программ-вандалов. Такие вредоносные приложения обычно создаются вирусописателями не для получения каких-либо материальных выгод, а для доказательства своих навыков программирования, выражения своей точки зрения на те или иные события, либо с целью развлечения или хулиганства. Очень часто подобные угрозы демонстрируют различные сообщения, портят пользовательские файлы и мешают нормальной работе зараженного оборудования. Именно так и действует новый Android-троянец, который распространяется под видом популярных приложений, таких, например, как игры.



При запуске Android.Elite.1.origin обманным путем пытается получить доступ к функциям администратора мобильного устройства, которые якобы необходимы для завершения корректной установки приложения. В случае успеха троянец приступает к немедленному форматированию подключенной SD-карты, удаляя все хранящиеся на ней данные. После этого вредоносная программа ожидает запуска ряда популярных приложений для общения.



Как только пользователь попытается запустить официальный клиент социальной сети Facebook, программу WhatsApp Messenger, Hangouts, либо стандартное системное приложение для работы с СМС-сообщениями, Android.Elite.1.origin блокирует их активное окно, демонстрируя на экране изображение с текстом OBEY or Be HACKED. При этом данная блокировка сохраняется только для указанных программ и не распространяется на прочие приложения или операционную систему в целом.



Чтобы еще больше ограничить доступ пользователя к инструментам «мобильного» общения, троянец препятствует прочтению всех вновь поступающих СМС-сообщений, для чего скрывает от своей жертвы все оповещения о новых СМС. В то же время сами сообщения сохраняются и заботливо помещаются в раздел «Входящие», который, впрочем, остается недоступным из-за действующей блокировки.

Помимо форматирования SD-карты и частичной блокировки средств коммуникации, Android.Elite.1.origin с периодичностью в 5 секунд рассылает по всем найденным в телефонной книге контактам СМС со следующим текстом:

HEY!!! [имя контакта] Elite has hacked you.Obey or be hacked.

Кроме того, похожий текст отправляется в ответ на все входящие СМС, поступившие с действующих мобильных номеров других пользователей:

Elite has hacked you.Obey or be hacked.

Таким образом, счет мобильного телефона большинства пострадавших владельцев зараженных мобильных устройств может быть опустошен за считанные минуты и даже секунды.

Специалисты компании «Доктор Веб» не рекомендуют пользователям загружать приложения из сомнительных источников. Предоставлять доступ подобным приложениям к правам администратора мобильного устройства также не рекомендуется во избежание порчи файлов или иных негативных последствий. Запись для детектирования троянца Android.Elite.1.origin внесена в вирусную базу, поэтому пользователи антивируса Dr.Web для Android и Dr.Web для Android Light надежно защищены от его атак.
Защитите ваше Android-устройство с помощью Dr.Web

Новые подробности нашумевшего дела о казахстанских хакерах, укравших сотни миллионов тенге

Компания «Доктор Веб» сообщает о том, что киберпреступники, организовавшие в июне 2013 года рассылку вредоносной программы BackDoor.Shell.218 (ей была посвящена наша новость Вирусная рассылка для жителей Казахстана) и похитившие с ее помощью сотни миллионов тенге у ряда казахстанских компаний, были задержаны правоохранительными органами и понесли заслуженное наказание. Во многом это стало возможно благодаря тесному взаимодействию следственной группы со специалистами нашей компании.

Напомним, что троянец BackDoor.Shell.218 относится к категории приложений, открывающих злоумышленникам возможность удаленного управления инфицированным ПК. Получив доступ к бухгалтерским компьютерам, с которых осуществлялись онлайн-платежи в системах «Банк-Клиент», казахстанские хакеры Андрей Кудинов и Мырзакан Дуненбаев переводили на свои счета огромные суммы и обналичивали их, в то время как их жертвы даже не сразу замечали факт взлома.

А.Кудинов, предварительно разыскав через Интернет бухгалтеров казахстанских компаний и их почтовые адреса (некоторые из них имели неосторожность использовать бесплатные почтовые сервисы – например, Mail.ru), в июне 2013 года организовал рассылку вредоносной программы, маскируясь под «Налоговый комитет МФ РК», а в качестве отправителя электронных сообщений значилось «Web-приложение «Кабинет налогоплательщика» <web-application-cabinet@mail.ru>. Никакие антивирусные средства, установленные на компьютерах казахстанских пользователей, не могли обнаружить данного троянца в момент вредоносной рассылки. Также не могли обнаружить его и антивирусные средства самого почтового сервиса Mail.ru, обеспечивавшие фильтрацию почты в тот период времени.

Злоумышленники заранее убедились в этом, протестировав свое «творение» на актуальных версиях антивирусных средств защиты различных производителей. Жертвы, в свою очередь, проявляли неосторожность и запускали троянца своими руками.

Специалисты «Доктор Веб», напрямую столкнувшись с данной угрозой, смогли оперативно ее идентифицировать и добавить в вирусные базы Dr.Web, а также сообщили о ней общественности. В то же самое время активность мошенников продолжала расти. Специалисты нашей компании зафиксировали рассылку зараженных писем на 900 бухгалтерских адресов, из них 850 (94,44%) адресатов открыли зараженный файл, что говорит об очень высокой эффективности данной вирусной рассылки. Таким образом, злоумышленники смогли получить контроль над 850 компьютерами.

Благодаря оперативному добавлению данного троянца в вирусные базы, а также проведению других организационно-технических мероприятий компания «Доктор Веб» смогла существенно сократить масштабы нового заражения компьютеров среди тех, кто использовал антивирусные средства защиты Dr.Web, а также минимизировать последствия атаки для уже пострадавших пользователей. Одновременно с этим был налажен процесс обмена различной информацией между нашей компанией и следственной группой, начавшей поиск преступников, что в итоге облегчило их поимку.

Итогом совместной работы стали арест, суд и приговор: одному хакеру - 8,5, а другому – 6 лет лишения свободы. «Во многом благодаря интенсивному взаимодействию следствия со специалистами «Доктор Веб» стало возможным вычислить преступников и арестовать их уже к концу 2013 года. Думаю, это очень показательный пример успешного расследования киберпреступлений в сотрудничестве с разработчиками средств безопасности. Такое сотрудничество позволяет оперативнее пресекать преступную деятельность киберкриминала, а это, в свою очередь, способствует минимизации ущерба для потенциальных жертв», - отмечает начальник отдела управления «К» МВД РК Жандос Суюнбай.

«Мы всегда говорили - и эта история еще раз подтверждает правильность этого вывода, - что опрометчиво полагаться лишь на антивирус: он необходим, но не достаточен для защиты. Практически никогда преступники не начинают серьезную атаку до тех пор, пока не добьются того, чтобы на момент атаки никакие антивирусные средства не могли бы обнаруживать данную угрозу. Только убедившись в этом, они ее начинают, и здесь многое зависит от того, насколько оперативно и качественно отреагирует антивирусная компания и сможет предоставить своим клиентам «противоядие». В лице современных киберпреступников мы имеем дело с коварным и сильным врагом, и поэтому, сидя перед компьютером, расслабляться нельзя ни на секунду. Успешно проведенная работа со следственными органами позволила нашей компании получить большой практический опыт, который мы сможем использовать в будущем для пресечения подобной преступной деятельности и которым будем делиться со своими клиентами», - говорит генеральный директор «Доктор Веб – Центральная Азия» Андрей Ковалев.

Специалисты «Доктор Веб» призывают пользователей, особенно тех, кто с помощью компьютеров проводит банковские операции, быть внимательными и осторожными - не открывать вложения в сообщениях электронной почты, полученные от подозрительных отправителей, поддерживать базы установленного на компьютере антивирусного ПО в актуальном состоянии. Для работы с системами «Банк-Клиент» лучше использовать отдельные компьютеры с различными средствами защиты, на которых не должны применяться никакие другие программы, особенно электронная почта, а Интернет должен использоваться только для доступа к сайту своего банка.

«Уязвимость защищенных» семинар компании «Доктор Веб»

22 октября в г. Алматы компания «Доктор Веб — Центральная Азия» провела семинар «Уязвимость защищенных». Собравшиеся представители крупных банков и страховых компаний, бизнесмены, сотрудники государственных и медицинских учреждений, ведущих вузов и телекоммуникационных компаний обсудили вопросы системной ИT-безопасности.



Более шестидесяти компаний, представляющих финансовый сектор, крупный и средний бизнес, а также государственные учреждения, собрались в отеле Rahat Palace, чтобы поделиться опытом организации систем антивирусной защиты и обсудить вопросы безопасности критически важных коммерческих данных в условиях постоянного роста организованной киберпреступности.

Старший аналитик отдела развития ООО «Доктор Веб» (г. Москва) Вячеслав Медведев рассказал собравшимся о том, каким образом корпоративные пользователи обычно выбирают те или иные решения безопасности и почему формально защищенные компании оказываются фактически уязвимы перед хакерскими атаками. Благодаря возможности живой дискуссии участники смогли получить рекомендации эксперта и обсудить практические вопросы.

Все участники семинара получили именные сертификаты, подарки и право на бесплатное обучение специалистов.

Возможна расшифровка файлов, зашифрованных Trojan.Encoder.398

Компания «Доктор Веб» сообщает об успешном создании алгоритма расшифровки файлов, пострадавших от действия троянца-шифровальщика Trojan.Encoder.398. Благодаря разработанному в ходе исследовательских работ инструментарию теперь полное восстановление данных, зашифрованных одной из модификаций этого опасного троянца, возможно примерно в 90% случаев. На сегодняшний день разработчик антивирусов Dr.Web является единственной компанией, способной расшифровать такие файлы.

Троянец-шифровальщик Trojan.Encoder.398 написан на языке Delphi и по ряду признаков представляет собой усовершенствованную версию вредоносной программы Trojan.Encoder.225. Ключи для шифрования файлов пользователя Trojan.Encoder.398 получает с сервера злоумышленников. Запустившись на атакуемом компьютере, троянец копирует себя в одну из системных папок с именем ID.exe, где ID — серийный номер жесткого диска. Затем Trojan.Encoder.398 демонстрирует на экране сообщение о повреждении архива и запускает собственную копию, которая определяет и отправляет на принадлежащий злоумышленникам сервер серийный номер жесткого диска зараженной машины. В ответ троянец получает от удаленного узла конфигурационные данные в формате XML, содержащие параметры шифрования: e-mail для связи со злоумышленниками, ключ шифрования и номер алгоритма, который будет выбран для шифрования, а также часть расширения зашифрованных файлов, после чего начинается сама процедура шифрования.





В настоящий момент специалистам «Доктор Веб» известно несколько модификаций Trojan.Encoder.398, способных использовать до 18 различных алгоритмов шифрования. Троянец может зашифровывать файлы со следующими расширениями: .odt, *.ods, *.odp, *.odb, *.doc, *.docx, *.docm, *.wps, *.xls, *.xlsx, *.xlsm, *.xlsb, *.xlk, *.ppt, *.pptx, *.pptm, *.mdb, *.accdb, *.pst, *.dwg, *.dxf, *.dxg, *.wpd, *.rtf, *.wb2, *.mdf, *.dbf, *.psd, *.pdd, *.eps, *.ai, *.indd, *.cdr, *.jpg, *.jpeg, *.arw, *.dng, *.3fr, *.srf, *.sr2, *.bay, *.crw, *.cr2, *.dcr, *.kdc, *.erf, *.mef, *.mrw, *.nef, *.nrw, *.orf, *.raf, *.raw, *.rwl, *.rw2, *.r3d, *.ptx, *.pef, *.srw, *.x3f, *.der, *.cer, *.crt, *.pem, *.p12, *.p7b, *.pdf, *.p7c, *.pfx, *.odc, *.rar, *.zip, *.7z, *.png, *.backup, *.tar, *.eml, *.1cd, *.dt, *.md, *.dds.
Для связи злоумышленники обычно используют следующие адреса электронной почты: mrcrtools@aol.com, back_files@aol.com, backyourfile@aol.com, vernut2014@qq.com, yourfiles2014@yahoo.com, restorefiles2014@yahoo.fr, filescrypt2014@foxmail.com и некоторые другие.
До недавнего времени расшифровка файлов, пострадавших от действия троянца Trojan.Encoder.398, считалась невозможной, однако начиная с мая 2014 года специалисты компании «Доктор Веб» проводили серьезную научно-исследовательскую работу по созданию эффективных алгоритмов расшифровки. Наконец, эти усилия принесли свои плоды: на сегодняшний день «Доктор Веб» является единственной компанией, специалисты которой с вероятностью в 90% способны восстановить файлы, зашифрованные злоумышленниками с использованием вредоносной программы Trojan.Encoder.398 с дополнительным расширением *.filescrypt2014@foxmail.com_*.
Следует отметить, что в последнее время в Интернете появилось множество предложений о платной расшифровке пострадавших от действия шифровальщиков файлов, однако достоверно установлено, что большинство лиц, предлагающих подобного рода услуги, все равно обращается за помощью в службу технической поддержки компании «Доктор Веб». Обращаем ваше внимание на то, что компания «Доктор Веб» осуществляет расшифровку файлов бесплатно для пользователей своих лицензионных продуктов. Таким образом, сетевые мошенники фактически предлагают жертвам троянца приобрести услугу, которую можно получить на безвозмездной основе. По крайней мере, требуемая ими сумма вознаграждения значительно превышает стоимость лицензии на антивирусные продукты Dr.Web, приобретая которую, пользователь получает надежную защиту своих персональных компьютеров и мобильных устройств.
Если вы стали жертвой этой вредоносной программы, воспользуйтесь следующими рекомендациями:
• обратитесь с соответствующим заявлением в полицию;
• ни в коем случае не пытайтесь переустановить операционную систему;
• не удаляйте никакие файлы на вашем компьютере;
• не пытайтесь восстановить зашифрованные файлы самостоятельно;
• обратитесь в службу технической поддержки поддержки компании «Доктор Веб» (эта услуга бесплатна);
• к тикету приложите зашифрованный троянцем .DOC-файл;
• дождитесь ответа вирусного аналитика. В связи с большим количеством запросов это может занять некоторое время.
Напоминаем, что услуги по расшифровке файлов оказываются только обладателям коммерческих лицензий на антивирусные продукты Dr.Web. Проделанная специалистами компании «Доктор Веб» работа открывает новые перспективы в борьбе с троянцами-шифровальщиками и позволяет надеяться, что в будущем все больше жертв подобных вредоносных программ получат возможность вернуть свои файлы, пострадавшие от действия энкодеров.

кстати вполне безобидный трой

Присоединяйтесь к программе лояльности «Я + Dr.Web»!

Мы очень ценим лояльность наших клиентов, год за годом выбирающих высокое качество антивирусной защиты, которое гарантирует ПО Dr.Web. Такая преданность бренду заслуживает самых щедрых подарков. Разделяя с нашими пользователями любовь к антивирусу Dr.Web, мы приглашаем их присоединиться к программе лояльности «Я + Dr.Web».

Участие в программе даст возможность зарабатывать виртуальные награды — Dr.Web-ки, которые впоследствии можно поставить на понравившиеся лоты в ежемесячных аукционах образовательного некоммерческого проекта ВебIQметр. Чем дольше вы пользуетесь Dr.Web, чем больше компьютеров защищаете и чем больше продуктов покупаете, тем более привлекательные условия мы можем вам предложить!

Чтобы присоединиться к программе лояльности, необходимо создать аккаунт на сайте http://www.drweb.ru, приобрести коммерческую лицензию Dr.Web и зарегистрировать ее в программе «Я + Dr.Web» через свой аккаунт на сайте. В процессе регистрации необходимо ввести в специальную форму серийный номер продукта (или приложить ключевой файл), а также указать ваш регистрационный e-mail. В ответном письме участник программы получит ссылку, по которой нужно будет перейти для завершения регистрации лицензии в программе лояльности. В программе могут быть зарегистрированы как действующие, так и истекшие коммерческие лицензии.

Просим обратить внимание, что ведется премодерация заявленных лицензий, поэтому Dr.Web-ки не начисляются сразу после регистрации лицензии, если право владения лицензией вызывает вопросы.
К участию в программе не принимаются бесплатные лицензии, лицензии, не принадлежащие участникам (владельцами которых они не являются), и лицензии, заблокированные по причине пиратства, замены, слияния или разбивки. Одну коммерческую лицензию Dr.Web можно привязать только к одному аккаунту и только один раз. Пожалуйста, не создавайте несколько аккаунтов, это может привести к путанице и потере возможности пользоваться преимуществами программы.

Опасный троянец-шифровальщик распространяется в почтовой рассылке

Компания «Доктор Веб» предупреждает пользователей о начавшейся на этой неделе массовой почтовой рассылке, с использованием которой злоумышленники распространяют опасную вредоносную программу-загрузчик. Основное предназначение этого приложения — скачивание и запуск на инфицированном компьютере троянца-шифровальщика Trojan.Encoder.686, представляющего для пользователей серьезную угрозу, поскольку пострадавшие от его действия файлы в настоящее время не поддаются расшифровке.

Троянец-загрузчик, добавленный в вирусную базу Dr.Web под наименованием Trojan.DownLoad3.35539, распространяется злоумышленниками при помощи массовой спам-рассылки в виде вложенного в сообщения электронной почты ZIP-архива. Специалисты «Доктор Веб» зафиксировали случаи распространения сообщений, содержащих опасное вложение, на разных языках, в том числе английском, немецком и даже грузинском.

Архив содержит .SCR-файл — к данному типу файлов по умолчанию относятся скринсейверы (заставки) Windows. Подобные файлы являются исполняемыми. При попытке запуска файла из архива Trojan.DownLoad3.35539 извлекает из своего тела, сохраняет на диск и открывает на экране атакуемого компьютера текстовый RTF-документ.

Одновременно с этим Trojan.DownLoad3.35539 устанавливает соединение с одним из принадлежащих злоумышленникам удаленных серверов, загружает оттуда архив, содержащий троянца-шифровальщика Trojan.Encoder.686, который также известен под названием CTB-Locker, после чего распаковывает и запускает его. Успешно инициализировавшись на зараженном компьютере, Trojan.Encoder.686 выполняет шифрование пользовательских файлов, после чего демонстрирует на экране заранее сформированное злоумышленниками сообщение.



Примечательно, что вирусописатели отводят своим жертвам лишь 96 часов на оплату расшифровки файлов, угрожая при этом, что в случае отказа от сотрудничества все зашифрованные файлы будут потеряны навсегда. При этом за подробной информацией об условиях и сумме выкупа киберпреступники предлагают пострадавшим пользователям обратиться на сайт, расположенный в анонимной сети TOR.



Троянец-шифровальщик Trojan.Encoder.686 собран с использованием библиотек TOR и OpenSSL, криптографию которых активно использует. В процессе шифрования пользовательских файлов энкодер активно эксплуатирует возможности CryptoAPI с целью получения случайных данных и эллиптическую криптографию, в связи с чем расшифровка пострадавших от его действия файлов в настоящий момент не представляется возможной.

Компания «Доктор Веб» предупреждает пользователей о необходимости проявлять бдительность и не запускать присланные по e-mail исполняемые файлы, не открывать вложения в сообщениях электронной почты, полученных из сомнительных источников, а также напоминает о целесообразности своевременного резервного копирования всех представляющих ценность данных.

Также напоминаем, что в составе Dr.Web Security Space версии 9 и 10 имеется несколько компонентов, позволяющих настроить своевременное автоматическое резервное копирование наиболее ценной информации и обезопасить компьютер от действия троянцев-энкодеров, а также других вредоносных программ.

Чтобы избежать потери ценных файлов, воспользуйтесь следующими советами:

1. Убедитесь, что в настройках Dr.Web Security Space (версии 9 и 10) включена «Превентивная защита», которая бережет ваш ПК от угроз, еще не известных вирусной базе Dr.Web.



2. После этого включите «Защиту от потери данных» в разделе «Инструменты» и настройте параметры хранилища резервной копии важных для вас файлов.



3. Создайте резервную копию ценных данных и настройте их автоматическое сохранение по удобному для вас графику, выбрав подходящий временной интервал.



Эти действия в сочетании с определенной осмотрительностью при работе с электронной почтой позволят вам защитить вашу операционную систему от большинства современных угроз, включая троянцев-шифровальщиков.

Как получить усиленную защиту Dr.Web бесплатно

Компания «Доктор Веб» объявляет о старте нового этапа акции для пользователей Антивируса Dr.Web, по условиям которой вы можете бесплатно усилить базовую защиту до уровня комплексной с Dr.Web Security Space. Акция продлится с 16 февраля по 1 марта.

Как и прежде, для участия в акции необходимо обладать действующей лицензией на Антивирус Dr.Web, до конца срока действия которой остается более 3 месяцев. При переходе на Dr.Web Security Space срок лицензии будет округлен в большую сторону! Количество защищаемых объектов будет соответствовать тому, что указано в вашей лицензии на Антивирус Dr.Web.

Активировать лицензию не потребуется – это произойдет автоматически. Сам переход осуществляется на странице акции – здесь необходимо ввести ваш действующий серийный номер, электронный адрес, на который он был зарегистрирован, и e-mail для регистрации новой лицензии (этот адрес может остаться прежним). Вы получите письмо со ссылкой, пройдя по которой сможете завершить процесс обмена лицензии.

Таким образом, для усиления защиты Dr.Web вам придется потратить лишь несколько минут, в то время как деньги не придется тратить вовсе!

Пользуешься Dr.Web сам — порекомендуй другому!

Компания «Доктор Веб» предоставляет пользователям возможность поделиться своим положительным опытом использования антивирусных продуктов Dr.Web и рекомендовать их тем, кто только раздумывает над покупкой антивируса или выбирает тот или иной продукт. Что может быть ценнее такой рекомендации из первых рук!

Пользователи лицензионных антивирусных продуктов Dr.Web — самые лучшие эксперты по нашим продуктам: ведь они испытывают Dr.Web каждый день, а значит, их мнению можно доверять. Помогите менее опытным пользователям сделать работу за компьютером комфортной, а посещение Интернета — более безопасным с антивирусом Dr.Web — порекомендуйте продукт, которым вы пользуетесь!

Можно рекомендовать только тот продукт, на который у вас есть активная лицензия, заявленная в программе «Я + Dr.Web» (т. е. продукт, которым вы в данный момент пользуетесь). Это можно сделать на странице рекомендации, в Мастере скачиваний или в личном кабинете пользователя «Мой Dr.Web».

Рекомендуйте Dr.Web и зарабатывайте на каждой рекомендации 10 Dr.Web-ок! Заработанные Dr.Web-ки можно потратить в ежемесячных аукционах образовательного некоммерческого проекта ВебIQметр. Один продукт (соответствующий одной лицензии) можно рекомендовать только один раз.

О да, Dr.Web! Конкурс ко Дню клиента

Компания «Доктор Веб» поздравляет пользователей с Днем клиента и объявляет о новом конкурсе хокку «О да, Dr.Web!». Присылайте свои трехстишия о том, почему вы пользуетесь антивирусом Dr.Web, и получайте в подарок Dr.Web-ки и свой любимый антивирус Dr.Web! По результатам конкурса будет издан сборник, в который войдут лучшие стихотворения наших клиентов.

Антивирус Dr.Web — старше многих своих пользователей! Вот уже 23 года зеленый паучок защищает компьютеры по всей России и за ее пределами, и на сегодняшний день количество тех, кто сказал «ДА» именно антивирусу Dr.Web, исчисляется многими миллионами.

19 апреля у нас праздник — День клиента, и именно в этот день мы хотели бы задать нашим пользователям вопрос: почему вы выбрали Dr.Web? А ответ пусть будет в полюбившемся многим жанре хокку. Присылайте свою «оду» в формате короткого трехстишия — и 22 апреля, в день рождения Dr.Web, мы подведем итоги конкурса.

Лучшие, по мнению читателей и жюри, оды войдут в книгу, которую мы подарим победителям! Также все участники конкурса, оды которых будут опубликованы в разделе «Работы конкурсантов», получат 30 Dr.Web-ок. А 23 конкурсанта, чьи работы будут отобраны жюри конкурса, станут обладателями 100 Dr.Web-ок и лицензии Dr.Web Security Space на 3 года!

Для участия в конкурсе необходимо войти в свой аккаунт на сайте www.drweb.ru или зарегистрироваться, если аккаунт еще не создан. Для голосования за работы других участников регистрация не требуется.

Троянец-шифровальщик распространяется в почтовой рассылке

Компания «Доктор Веб» предупреждает пользователей о распространении опасного троянца-шифровальщика Trojan.Encoder.514, которого злоумышленники массово рассылают по каналам электронной почты. В настоящий момент расшифровка файлов, пострадавших от действия троянца Trojan.Encoder.514, не представляется возможной.

На протяжении последних нескольких месяцев злоумышленники организовали множество спам-кампаний по распространению различных версий троянцев-шифровальщиков. Так, на текущей неделе участились случаи массовых рассылок по электронной почте посланий якобы от имени службы по передаче факсов через Интернет, имеющих заголовок «Incoming Fax Report». В приложении к письму под видом факсимильного сообщения содержится ZIP-архив, внутри которого располагается вредоносный SCR-файл, являющийся исполняемым в операционных системах семейства Microsoft Windows. Данные SCR-файлы детектируются антивирусным ПО Dr.Web как Trojan.DownLoader11.32458.



При попытке открытия вложения вредоносная программа Trojan.DownLoader11.32458 распаковывает и запускает на атакуемом компьютере троянца-энкодера Trojan.Encoder.514, шифрующего хранящиеся на диске пользовательские файлы и требующего выкуп за их расшифровку. Пострадавшие от действия Trojan.Encoder.514 файлы не получают отдельного расширения, но в начало их имени дописывается строка "!crypted!". Шифрование происходит с созданием промежуточных файлов, имеющих расширение *.cry, которые впоследствии удаляются.

В настоящий момент расшифровка файлов, зашифрованных вредоносной программой Trojan.Encoder.514, не представляется возможной. Специалисты компании «Доктор Веб» напоминают пользователям о необходимости своевременного резервного копирования наиболее ценных данных, а также рекомендуют проявлять бдительность и не открывать вложения в сообщениях электронной почты, полученных от незнакомых отправителей.

Опасный бэкдор угрожает пользователям Windows

Специалисты компании «Доктор Веб» провели исследование опасного троянца-бэкдора, способного заражать компьютеры под управлением Microsoft Windows. Вредоносная программа, получившая наименование BackDoor.Yebot, может выполнять на инфицированной машине широчайший диапазон деструктивных действий, в частности, запускать собственный FTP и прокси-сервер, искать различную информацию по команде злоумышленников, фиксировать нажатие пользователем клавиш, передавать на удаленный сервер снимки экрана и многое другое.

Троянец BackDoor.Yebot распространяется с использованием другой вредоносной программы, добавленной в вирусные базы Dr.Web под именем Trojan.Siggen6.31836. Запустившись на атакуемом компьютере, это опасное приложение встраивает собственный код в процессы svchost.exe, csrss.exe, lsass.exe и explorer.exe, после чего, отправив на удаленный сервер соответствующий запрос, загружает и расшифровывает троянца BackDoor.Yebot, настраивает его в памяти компьютера и передает ему управление. Сам Trojan.Siggen6.31836 примечателен тем, что часть используемых им функций зашифрована (причем расшифровываются они только в момент выполнения, для чего троянец резервирует память, которая автоматически освобождается после исполнения кода функции). Также эта вредоносная программа обладает механизмами проверки наличия в атакуемой системе виртуальной машины и обхода системы контроля учетных записей пользователя (User Accounts Control, UAC).

Бэкдор BackDoor.Yebot обладает следующими функциональными возможностями:

запуск на инфицированном компьютере FTP-сервера;
запуск на инфицированном компьютере Socks5 прокси-сервера;
модификация протокола RDP для обеспечения удаленного доступа к инфицированному компьютеру;
фиксация нажатий пользователем клавиш (кейлоггинг);
возможность установки обратной связи с инфицированным ПК для FTP, RDP и Socks5, если в сети используется NAT (бэкконнект);
перехват данных по шаблонам PCRE (Perl Compatible Regular Expressions) — библиотеки, реализующей работу регулярных выражений в среде Perl, для чего троянец перехватывает все возможные функции, связанные с работой в Интернете;
перехват токенов SCard;
встраивание в просматриваемые пользователем веб-страницы постороннего содержимого (веб-инжекты);
расстановка перехватов различных системных функций в зависимости от принятого конфигурационного файла;
модификация кода запущенного процесса в зависимости от принятого конфигурационного файла;
взаимодействие с различными функциональными модулями (плагинами);
создание снимков экрана;
поиск в инфицированной системе приватных ключей.

Для обмена данными с управляющим сервером BackDoor.Yebot использует как стандартный протокол HTTP, так и собственный бинарный протокол. При этом управляющий сервер троянца обладает параноидальными настройками: например, он может занести IP-адрес в черный список при поступлении с него некорректного запроса или при поступлении слишком большого количества запросов с одного IP-адреса.

Специалисты компании «Доктор Веб» предполагают, что BackDoor.Yebot может использоваться злоумышленниками в том числе в качестве банковского троянца: фактически он универсален в силу достаточно развитого ассортимента функциональных возможностей и способности взаимодействовать с различными дополнительными модулями. Сигнатуры BackDoor.Yebot и Trojan.Siggen6.31836 добавлены в вирусные базы, потому эти вредоносные программы не представляют опасности для пользователей антивирусных продуктов Dr.Web.

Антивирусы Dr.Web прошли сертификацию «1С Совместимо!»

Компания «Доктор Веб» сообщает о том, что Dr.Web Enterprise Security Suite версии 10, а также Антивирус Dr.Web и Dr.Web Security Space успешно прошли сертификацию на совместимость с платформой «1С: Предприятие» и получили сертификат «1С: Совместимо!»

Сертификация программных продуктов и оборудования на совместимость с системой программ «1С: Предприятие», которую проводит фирма «1С», помогает потребителям программных продуктов сориентироваться на рынке специализированного ПО и безошибочно выбирать работающие решения по автоматизации предприятия. Логотип «Совместимо! Система программ 1С: Предприятие», который компания «Доктор Веб» теперь имеет право использовать на упаковке антивирусов, является официальным подтверждением того, что Dr.Web Enterprise Security Suite версии 10, а также Антивирус Dr.Web и Dr.Web Security Space прошли в «1С» тщательное тестирование на корректность совместной работы и удобство применения с платформой «1С: Предприятие».

Нежелательное приложение-установщик угрожает пользователям Mac OS X

Специалистам компании «Доктор Веб» хорошо известны вредоносные и нежелательные программы, предназначенные для «тихой» установки, а также навязывания различных ненужных приложений и надстроек браузеров без ведома владельца компьютера – в последние годы такое ПО получило чрезвычайно широкое распространение, его жертвами в основном становятся пользователи Microsoft Windows. Однако с недавних пор все больше таких программ появляется и для операционной системы Mac OS X. Одна из них была добавлена в вирусные базы Dr.Web под именем Adware.Mac.InstallCore.1.

Нежелательное приложение Adware.Mac.InstallCore.1 представляет собой установщик, пакет которого содержит три значимые папки: bin, MacOS и Resources. В первой из них располагается приложение, детектируемое Dr.Web под именем Tool.Mac.ExtInstaller, предназначенное для инсталляции расширений браузеров, замены стартовой страницы и используемой браузерами по умолчанию поисковой системы. Папка MacOS традиционно содержит двоичный файл установщика, а в папке Resources хранится основная часть SDK в виде сценариев на языке JavaScript. Эти сценарии могут быть представлены как в открытом виде, так и в зашифрованном с использованием алгоритма AES.

В частности, среди файлов SDK располагается конфигурационный файл config.js, содержащий специальный раздел, который определяет, какие именно приложения будут предложены пользователю для установки. В этом разделе указано, сколько приложений следует инсталлировать на компьютер, при обнаружении каких программ или виртуальных машин пользователю не будут навязываться дополнительные программы, и, собственно, приведен сам список устанавливаемых компонентов. При этом имеющийся в составе приложения конфигурационный файл — не единственный, используемый данной программой в процессе ее работы: еще один она получает с удаленного сервера, адрес которого указан в локальном файле конфигурации. Загружаемые из сети данные зашифрованы с использованием алгоритма XOR и сжаты при помощи GZIP. Расшифрованный файл содержит различные языковые параметры, необходимые для отображения элементов интерфейса установщика, а также иные данные.




В другом файле, scripts.js, реализована основная логика работы установщика, в том числе — проверка наличия на компьютере виртуальных машин и некоторых ранее проинсталлированных приложений. Программа не будет навязывать пользователю установку посторонних компонентов, если она запущена в виртуальных машинах VirtualBox, VMWare Fusion или Parallels, либо если на «маке» удается выявить присутствие пакета среды разработки XCode или приложения Charles, используемого для отладки. Также известны случаи, когда пользователю не предлагалась установка посторонних программ при обнаружении антивирусов AVG, Avast, BitDefender, Comodo, ESET, Kaspersky, Sophos, Symantec, Intego, ClamAV и F-Secure. Помимо этого, в «черном списке» Adware.Mac.InstallCore.1 имеется ряд других приложений.

Среди программ и утилит, устанавливаемых на компьютер Adware.Mac.InstallCore.1, можно перечислить следующие:

Yahoo Search;
MacKeeper (Program.Unwanted.MacKeeper);
ZipCloud;
WalletBee;
MacBooster 2;
PremierOpinion (Mac.BackDoor.OpinionSpy);
RealCloud;
MaxSecure;
iBoostUp;
ElmediaPlayer.

Запись для нежелательного приложения Adware.Mac.InstallCore.1 была добавлена в базы Антивируса Dr.Web для Mac OS X, поэтому наши пользователи защищены от действий этой программы.

Как защититься от троянцев-шифровальщиков – скорая видеопомощь!

Сервис поддержки пользователей Dr.Web пополнился новым обучающим видео, посвященным борьбе с троянцами-шифровальщиками, превращающими данные пользователя в нечитаемые файлы. Всего за несколько минут вы узнаете, что конкретно нужно предпринять, чтобы не стать жертвой шифровальщика-вымогателя, и получите практические советы по восстановлению зашифрованных файлов.

Шифровальщики семейства Trojan.Encoder не только зашифровывают данные, но и требуют выкуп за расшифровку. Эта угроза известна давно, но в последние годы приобрела катастрофические масштабы. Жертвой «энкодеров» может стать каждый пользователь – ежесуточно в вирусную лабораторию «Доктор Веб» поступает более 40 заявок на расшифровку! Но гарантию возвращения файлов дать невозможно, поэтому важно быть готовым к отражению атаки шифровальщика заранее и знать, что делать в случае поражения данных.

В новом видео подробно рассказано о мерах, которые нужно предпринять, чтобы не стать жертвой шифровальщика-вымогателя и не потерять свои файлы. Если троянец все-таки зашифровал ваши данные, вы можете самостоятельно восстановить их – в видео даны подробные рекомендации по восстановлению зашифрованных файлов.

Избежать встречи с троянцами-шифровальщиками вам поможет и одна из основных функций десятой версии Dr.Web, которая позволяет эффективно бороться с последствиями заражения Trojan.Encoder – «Защита от потери данных». Включив эту функцию (по умолчанию она отключена), вы можете создать резервную копию ценных файлов и папок, назначив их сохранение по нужному вам графику, а также выбрав подходящий временной интервал.