Специалисты Secureworks, американской компании, специализирующейся на кибербезопасности, обнаружили новую функцию вредоносного ПО Smoke Loader. Выяснилось, что оно способно определять местоположение заражённого ПК с помощью триангуляции Wi-Fi. Этот метод редко встречается среди хакерских инструментов, но его потенциальное применение может быть направлено на запугивание жертвы.

Источник изображения: geralt / Pixabay

Smoke Loader — это вредоносное ПО, известное специалистам по безопасности уже многие годы. Оно было создано, чтобы загружать и устанавливать на ПК дополнительные вредоносные программы, что в свою очередь позволяет злоумышленникам контролировать заражённую систему. Недавно исследователи из Secureworks обнаружили новую функцию этого вредоноса, которую они назвали Whiffy Recon. Она каждую минуту определяет местоположение заражённого ПК, анализируя сигналы ближайших точек доступа Wi-Fi. Для этого Whiffy Recon использует Google Maps Geolocation API. Этот сервис был создан для устройств, не имеющих встроенного GPS, и он определяет местоположение устройства на основе данных о близлежащих Wi-Fi-точках доступа и сотовых вышках.

Зачем киберпреступникам знать местоположение жертвы? Специалисты Secureworks предполагают, что данная информация может быть использована для запугивания: например, чтобы угрожать пользователю или давить на него, зная, где он находится.

Как отметил Дон Смит (Don Smith), вице-президент Secureworks, такая возможность вредоносного ПО редко используется киберпреступниками. В отдельности эта функция не позволяет быстро получить прибыль. Однако реальность такова, что она может быть использована для реализации любых преступных мотивов.

Для минимизации рисков, связанных с вредоносным ПО, рекомендуется следующее:

• всегда обновляйте свою ОС и ПО, так как новые версии часто содержат патчи для уязвимостей, которые могут быть эксплуатированы такими программами, как Smoke Loader;
• используйте надёжное антивирусное программное обеспечение с актуальными базами данных для обнаружения и блокировки известных киберугроз;
• будьте особенно осторожны при открытии вложений или переходе по ссылкам из электронных писем, особенно если отправитель вам неизвестен;
• наконец, скачивайте программы и приложения только из официальных и проверенных источников, избегая сомнительных сайтов или неофициальных платформ.

Исследование компании Zimperium показало, что новый вид вредоносного ПО для Android умело маскируется от антивирусных программ, используя необычный метод антианализа для файлов Android Package (APK), что делает его практически невидимым для большинства антивирусов.

Источник изображения: neotam / Pixabay

Zimperium, специализирующаяся на вопросах кибербезопасности, обнаружила, что вредоносные файлы противостоят декомпиляции (процессу, который антивирусы используют для выявления подозрительного кода) с помощью нестандартных или сильно модифицированных алгоритмов сжатия. Так как этот метод пока неизвестен антивирусным программам, вредоносное ПО может маскироваться под обычное приложение, полностью обходя защиту смартфона.

Отчёт Zimperium, опубликованный на этой неделе, указывает на 3 300 APK-файлов, использующих подобный способ сжатия. Из них 71 APK-файл успешно запускается и работает на Android 9 и старше. Zimperium не нашла доказательств того, что приложения, связанные с обнаруженными вредоносными APK-файлами, когда-либо размещались в Google Play Маркет.

Это указывает на то, что их распространение происходило иными путями, например, через сторонние магазины приложений или путём ручной установки пользователем. Хотя это тревожная новость для владельцев Android-смартфонов, тем не менее, основному риску подвергаются те пользователи, кто устанавливает приложения не из официальных магазинов.

Месяц назад, 26 июня, пользователь Steam предупредил сообщество Call of Duty: Modern Warfare 2 (2009) о том, что хакеры «атакуют через взломанные лобби». Другой игрок после анализа вредоносного ПО в той же ветке пришёл к выводу, что оно похоже на червя. Activision отреагировала на сообщения, но только сейчас.

Источник изображения: Pixabay

В разговоре с Techcrunch некий инсайдер на условиях анонимности подтвердил, что код вредоносного ПО содержит строки, указывающие на червя. На такой вывод наталкивает и его поведение: оно автоматически распространяется через онлайн-лобби от одного заражённого игрока к другому. Это говорит о том, что хакеры нашли и использовали уязвимости игры для выполнения вредоносного кода на компьютерах других пользователей.

Накануне, 26 июля, Activision сообщила, что «многопользовательский режим Call of Duty: Modern Warfare 2 (2009) в Steam был отключён, пока мы изучаем сообщения о проблеме».

Call of Duty: Modern Warfare 2 была выпущена ещё в 2009 году, но до сих пор имеет небольшое сообщество игроков. По данным SteamDB, пиковый онлайн в проекте за последние сутки составил около 650 человек.

Хотя и ранее фиксировались случаи распространения вредоносных программ через видеоигры, обычно ими становились троянские версии установщиков игр или читы. Компания Valve, управляющая платформой Steam, пока не прокомментировала ситуацию.