Сегодня 20 апреля 2018
18+
MWC 2018
Теги → троян
Быстрый переход

Опасный Android-троян пытается обокрасть клиентов Сбербанка

«Доктор Веб» предупреждает о том, что российские клиенты Сбербанка, использующие мобильные устройства на базе Android, могут стать жертвами опасной вредоносной программы, способной опустошать счета.

Речь идёт о зловреде Android.BankBot.358.origin. Он известен как минимум с конца 2015 года, а недавно появились модификации, разработанные специально с прицелом на российских клиентов Сбербанка.

Вредоносная программа распространяется при помощи мошеннических SMS, которые могут рассылать как киберпреступники, так и сам троян. Чаще всего сообщения отправляются от имени пользователей сервиса Avito.ru. В посланиях потенциальной жертве предлагается под тем или иным предлогом перейти по указанной ссылке. Попавшись на уловку злоумышленников, пользователь попадает на сайт, с которого на мобильное устройство скачивается apk-файл вредоносного приложения.

После запуска зловред запрашивает доступ к правам администратора устройства и делает это до тех пор, пока пользователь не согласится предоставить ему необходимые полномочия. Затем программа соединяется с управляющим сервером, сообщает об успешном заражении и ожидает дальнейших указаний.

Главная цель трояна — хищение денег у русскоязычных клиентов Сбербанка, что достигается преимущественно за счёт фишинга. Злоумышленники отправляют зловреду команду на блокирование заражённого устройства окном с мошенническим сообщением. Оно имитирует внешний вид системы дистанционного банковского обслуживания «Сбербанк Онлайн» и отображается для всех пользователей независимо от того, являются ли они клиентами Сбербанка или другой кредитной организации. В этом сообщении говорится о якобы поступившем денежном переводе в размере 10 000 рублей. Для получения средств владельцу смартфона или планшета предлагается указать полную информацию о банковской карте: её номер, имя держателя, дату окончания действия, а также секретный код CVV. Если жертва выполняет эти требования, мошенники получают возможность полностью опустошить банковский счёт.

Утверждается, что ущерб, который может нанести Android.BankBot.358.origin, составляет около 80 млн рублей. Подробнее о зловреде можно узнать здесь

Между тем сам  Сбербанк полагает, что угроза преувеличена. «Сегодня в ряде СМИ появились публикации о новом вредоносном ПО, нацеленном на клиентов Сбербанка. Специалистам банка уже давно известно о существовании данного вируса. Приложение Сбербанк Онлайн со встроенным антивирусом надёжно защищает устройства от подобных атак», — говорится в сообщении финансовой организации.

Новый троян-шифровальщик угрожает пользователям Windows

«Доктор Веб» предупреждает о появлении новой вредоносной программы, вымогающей деньги у своих жертв: зловред получил обозначение Trojan.Encoder.24384, но создатели называют его «GandCrab!».

Троян атакует пользователей персональных компьютеров под управлением операционных систем Windows. Проникнув на ПК, вымогатель шифрует содержимое фиксированных, съёмных и сетевых накопителей, за исключением ряда папок, среди которых имеются служебные и системные. Каждый диск шифруется в отдельном потоке. После окончания кодирования зловред отправляет на сервер данные о количестве зашифрованных файлов и времени, потраченном на шифрование.

Троян также может собирать информацию о наличии запущенных процессов антивирусов. Вымогатель способен принудительно завершать процессы программ по заданному вирусописателями списку.

Закодированным файлам присваивается расширение *.GDCB. Сообщение с требованиями вымогателей и список расширений шифруемых файлов хранятся в теле трояна зашифрованными с использованием алгоритма XOR.

После выполнения вредоносных операций программа выводит сообщение с требованием выкупа. Увы, в настоящее время расшифровка файлов, закодированных зловредом, невозможна. 

Многоцелевой троян Mezzo: угроза для реальных денег и криптовалют

«Лаборатория Касперского» обнаружила новую вредоносную программу, появление которой, возможно, говорит о готовящейся масштабной кибератаке в финансовой сфере.

Зловред носит имя Mezzo. Этот троян способен подменять реквизиты в файлах обмена между бухгалтерскими и банковскими системами.

Mezzo распространяется с помощью сторонних программ-загрузчиков. Основной интерес для зловреда представляют текстовые файлы популярного бухгалтерского ПО, созданные менее двух минут назад. После обнаружения таких документов троян ждёт, последует ли открытие диалогового окна для обмена информацией между бухгалтерской системой и банком. Если это произойдёт, зловред может подменить реквизиты счёта в файле непосредственно в момент передачи данных. В противном случае — если диалоговое окно так и не будет открыто — Mezzo подменяет весь файл поддельным.

Анализ говорит о том, что Mezzo может быть связан с другим трояном — CryptoShuffler, который охотится за криптовалютами. Таким образом, новый зловред теоретически может применяться для кражи реальных и цифровых денег.

«Лаборатория Касперского» подчёркивает, что сейчас Mezzo просто отправляет собранную с заражённого компьютера информацию на сервер злоумышленникам. Это может говорить о том, что киберпреступники подготавливают почву для будущей кампании.

Более подробно о финансовой угрозе Mezzo можно узнать здесь

Android-троян Skygofree получил ряд уникальных функций

«Лаборатория Касперского» обнаружила сложную вредоносную программу, нацеленную на мобильные устройства под управлением Android: зловред получил название Skygofree.

Анализ показал, что Skygofree обладает рядом уникальных функций, которые до сих пор не встречались ни в одной вредоносной программе для Android. К примеру, троян способен отслеживать местоположение устройства и включать запись звука, когда владелец оказывается вблизи заданных координат: это позволяет прослушивать окружение жертвы в определённых местах — скажем, в банке.

Кроме того, Skygofree может незаметно подключать гаджет к Wi-Fi-сетям, находящимся под полным контролем злоумышленников. Причём эта функция работает даже в том случае, если владелец устройства полностью отключил Wi-Fi. Такой приём позволяет собирать и анализировать трафик жертвы.

Троян способен отслеживать работу популярных мессенджеров, в частности, Facebook Messenger, Skype, Viber и WhatsApp. Причём в случае WhatsApp производится чтение переписки через «Специальные возможности» (Accessibility Services).

Ещё одна нестандартная возможность — включение фронтальной камеры в момент разблокировки устройства владельцем. Как именно злоумышленники используют полученные таким образом изображения, пока не ясно.

Прочая функциональность включает перехват звонков, SMS и других пользовательских данных. Наконец, предусмотрены инструменты, помогающие трояну поддерживать работу в режиме ожидания. Так, новейшая версия Android может автоматически останавливать неактивные процессы для экономии заряда батареи, но Skygofree обходит это, периодически отправляя системе уведомления.

Вредоносная программа распространяется через Интернет, используя методы социальной инженерии. Более подробно о зловреде можно узнать здесь

В магазине Google Play обнаружены игры с троянским модулем

«Доктор Веб» предупреждает о появлении в магазине Google Play ряда игр для операционной системы Android, в состав которых интегрирован вредоносный компонент.

Сообщается, что в небезопасные приложения встроен троянский модуль, который незаметно скачивает и запускает дополнительные компоненты. Они могут выполнять различные функции — например, скрытно открывать те или иные сайты и «нажимать» на определённые элементы на этих страницах.

В процессе работы вредоносный модуль загружает с указанного управляющим сервером адреса скрипт, которому предоставляет возможность совершать различные действия на странице, в том числе симулировать клики по указанным скриптом элементам. Таким образом, если в задании трояна был переход по ссылкам или рекламным объявлениям, злоумышленники получают прибыль за накрутку счётчика посещений веб-страниц и нажатия на баннеры.

Теоретически на мобильное устройство жертвы могут также загружаться модули для демонстрации рекламы или отображения фишинговых окон с целью кражи логинов, паролей и другой конфиденциальной информации, скажем, данных банковских карт.

«Доктор Веб» отмечает, что троянский модуль обнаружен примерно в трёх десятках игр (перечень доступен здесь), которые были загружены пользователями Android в общей сложности более 4,5 млн раз. Специалисты уже проинформировали корпорацию Google о наличии троянского компонента в обнаруженных небезопасных приложениях. 

Модульный Android-троян Loapi способен добывать криптовалюту

«Лаборатория Касперского» изучила сложную вредоносную программу, атакующую владельцев мобильных устройств под управлением операционной системы Android.

Зловред носит имя Trojan.AndroidOS.Loapi. Он имеет модульную архитектуру и может выполнять широкий спектр операций, включая майнинг криптовалюты, проведение DDoS-атак, демонстрацию рекламы и пр.

Трояны семейства Loapi распространяются с помощью рекламных кампаний, а загрузка зловреда осуществляется путём перенаправления пользователя на сайты злоумышленников. При этом вредоносные программы маскируются под мобильные защитные решения и приложения «для взрослых».

После проникновения на устройство троян запрашивает права администратора. В случае отказа зловред повторно выводит окно запроса — и так до тех пор, пока пользователь не согласится. Loapi может имитировать деятельность антивируса или скрываться в системе.

Вредоносная программа может использовать самые разнообразные модули. Так, рекламный компонент используется для агрессивного показа рекламы на инфицированном устройстве, а также для скрытой накрутки сайтов и аккаунтов в социальных сетях.

Майнер-модуль использует Android-реализацию minerd для добычи Monero (XMR), а SMS-модуль служит для различных манипуляций с текстовыми сообщениями.

Ещё один компонент создаёт прокси-сервер, который позволяет злоумышленникам выполнять HTTP запросы от имени устройства: подобные действия могут производиться в том числе и для организации DDoS-атак.

Веб-краулер служит для скрытого исполнения JavaScript-кода на страницах WAP-биллинга и оформления на пользователя платных подписок. При этом зловред может обойти механизм подтверждения подписки: SMS-модуль скроет сообщение от пользователя, ответит на него нужным образом и затем удалит все следы. 

Мобильный банковский троян атакует пользователей Google Play

Компания ESET предупреждает о том, что сетевые злоумышленники организовали новую атаку на пользователей Android, загружающих полезные приложения и игры через магазин Google Play.

Сообщается, что преступники разместили в Google Play ряд программ и утилит для скрытой загрузки на смартфоны и планшеты жертв мобильного банковского трояна. Речь идёт о зловреде BankBot.

В частности, в Google Play выявлены приложения-фонарики Tornado FlashLight, Lamp For DarkNess и Sea FlashLight с вредоносными функциями. Кроме того, обнаружены опасные приложения для игры в пасьянс и софт для очистки памяти устройства.

После первого запуска загрузчик сверяет установленные на устройстве программы с закодированным списком из 160 банковских мобильных приложений. Обнаружив одно или несколько совпадений, он запрашивает права администратора устройства. Далее, через два часа после активации прав, стартует загрузка мобильного трояна — его установочный пакет замаскирован под обновление Google Play.

Для кражи банковских реквизитов зловред отображает поддельные формы для ввода логина и пароля при запуске пользователем легитимного банковского приложения. Похищенные сведения отсылаются злоумышленникам, что позволяет им опустошать счета жертв.

О том, сколько пользователей Google Play пострадали от действий преступников, не сообщается. Но ESET отмечает, что приложения с вредоносными функциями могут расходиться многими тысячами копий, прежде чем администрация Google Play удаляет такие программы. 

Модульный банковский троян атакует пользователей Windows

«Доктор Веб» предупреждает о появлении новой вредоносной программы, созданной с целью хищения средств с банковских счетов пользователей Интернета.

Зловред относится к семейству Trojan.Gozi, представители которого уже довольно длительное время «гуляют» по просторам Всемирной сети. Новый троян получил обозначение Trojan.Gozi.64: как и предшественники, он атакует компьютеры под управлением операционных систем Windows.

Особенность вредоносной программы заключается в том, что она полностью состоит из отдельных загружаемых плагинов. Модули скачиваются с управляющего сервера специальной библиотекой-загрузчиком, при этом протокол обмена данными использует шифрование. Зловред, в частности, может получать плагины для браузеров, с помощью которых выполняются веб-инжекты. Конфигурация этих веб-инжектов определяется целями злоумышленников.

Установлено, что троян может использовать плагины для Microsoft Internet Explorer, Microsoft Edge, Google Chrome и Mozilla Firefox. Установив соответствующий модуль, зловред получает с управляющего сервера ZIP-архив с конфигурацией для выполнения веб-инжектов. В результате троян может встраивать в просматриваемые пользователем веб-страницы произвольное содержимое — например, поддельные формы авторизации на банковских сайтах и в системах банк-клиент. При этом, поскольку модификация веб-страниц происходит непосредственно на заражённом компьютере, URL такого сайта в адресной строке браузера остаётся корректным, что может ввести пользователя в заблуждение.

Таким образом, троян позволяет киберпреступникам красть банковские данные, которые затем могут быть использованы для снятия средств жертвы. Дополнительно троян может фиксировать нажатия клавиш, воровать учётные данные из почтовых клиентов и выполнять другие функции. 

Сложный троян-загрузчик атакует Android-пользователей через Google Play

Компания ESET предупреждает о новой волне нападений на пользователей устройств под управлением мобильной операционной системы Android.

Схема атаки предусматривает внедрение в магазин Google Play троянов-загрузчиков, замаскированных под легитимные приложения. Чтобы избежать обнаружения, вредоносные программы используют весьма сложную структуру: она включает многоступенчатую архитектуру, шифрование и продвинутые механизмы маскировки.

Зловреды могут легко ввести в заблуждение своих жертв. Дело в том, что после попадания на устройство приложения не запрашивают дополнительные права и выполняют ожидаемые действия. Вредоносная активность остаётся невидимой для пользователя и осуществляется в несколько этапов.

В частности, сначала в фоновом режиме производится расшифровка и выполнение двух компонентов, входящих в состав зловреда. Далее выполняется скрытная загрузка дополнительного компонента под видом популярного приложения, например, Adobe Flash Player. Данный компонент предназначен для расшифровки, наделения необходимыми правами и выполнения основного модуля: это может быть банковский троян, шпион и пр.

Таким образом, вредоносная программа позволяет заражать мобильные устройства любым зловредом на выбор атакующих. В Google Play обнаружены как минимум восемь опасных приложений: сейчас они удалены, но нет гарантий, что вредоносный код не встроен в другие доступные продукты. К тому же злоумышленники могут повторить атаку на Google Play. 

Приложения с трояном загрузили из Google Play миллионы пользователей

«Доктор Веб» предупреждает о появлении в магазине Google Play ряда приложений со встроенной троянской программой: от этого зловреда могли пострадать миллионы пользователей Android по всему миру.

Троян носит обозначение Android.RemoteCode.106.origin. Он внедрён как минимум в девять приложений, с перечнем которых можно ознакомиться ниже.

После попадания на мобильное устройство зловред выполняет ряд проверок. Если на смартфоне или планшете отсутствует определённое количество фотографий, контактов в телефонной книге и записей о звонках в журнале вызовов, троян никак себя не проявляет. В противном случае программа пытается связаться с управляющим сервером и приступает к работе.

Основным предназначением вредоносной программы является загрузка и запуск дополнительных модулей, которые используются для накрутки счётчика посещений веб-сайтов, а также для перехода по рекламным объявлениям. Это приносит злоумышленникам определённый доход.

Кроме того, троян может использоваться для проведения фишинговых атак и кражи конфиденциальной информации.

По различным оценкам, инфицированные приложения могли загрузить в общей сложности от 2,4 до 11,7 млн раз. Компания Google уже проинформирована о проблеме, однако полностью она пока не устранена. К тому же ничто не мешает злоумышленникам интегрировать вредоносный код в другие программы. Перечень обнаруженных заражённых приложений выглядит следующим образом:

  • Sweet Bakery Match 3 — Swap and Connect 3 Cakes версии 3.0;
  • Bible Trivia версии 1.8;
  • Bible Trivia – FREE версии 2.4;
  • Fast Cleaner light версии 1.0;
  • Make Money 1.9;
  • Band Game: Piano, Guitar, Drum версии 1.47;
  • Cartoon Racoon Match 3 — Robbery Gem Puzzle 2017 версии 1.0.2;
  • Easy Backup & Restore версии 4.9.15;
  • Learn to Sing версии 1.2.  

Троян CryptoShuffler ворует криптовалюты

Пока биткоин ставит новые рекорды стоимости, сетевые злоумышленники ищут способы нажиться на владельцах криптовалютных кошельков. «Лаборатория Касперского» предупреждает о появлении вредоносной программы, созданной специально для кражи криптоденег.

Зловред получил название CryptoShuffler. Он охотится за такими валютами, как Bitcoin, Ethereum, Zcash, Dash, Monero и другими. По оценкам, преступникам уже удалось похитить средства, эквивалентные примерно $140 тыс.

Троян CryptoShuffler эксплуатирует человеческую невнимательность и особенности схемы перевода криптовалют. Дело в том, что для перечисления средств с одного криптокошелька на другой пользователю необходимо указать идентификационный номер получателя. Он состоит из множества символов, поэтому запомнить его практически невозможно. В итоге операция выполняется функцией «копировать — вставить». И именно здесь кроется опасность.

После проникновения на компьютер CryptoShuffler начинает следить за буфером обмена устройства, ища там адреса криптовалютных кошельков. Большинство из них имеют стандартный вид с фиксированной длиной и заранее заданным началом, а поэтому обнаружить требуемую последовательность символов не составляет особого труда.

При появлении в буфере обмена адреса криптокошелька зловред подменяет его на свой собственный. В результате, если пользователь на замечает подлога, деньги отправляются напрямую злоумышленникам. 

Новый Windows-троян написан на языке Python

Компания «Доктор Веб» обнаружила новую вредоносную программу с функциями бекдора, атакующую компьютеры под управлением операционных систем Windows.

Главная особенность зловреда, получившего обозначение Python.BackDoor.33, заключается в том, что он написан на высокоуровневом языке программирования Python. Внутри файла трояна хранится запакованная утилита py2exe, которая позволяет запускать в Windows сценарии на языке Python как обычные исполняемые файлы.

После проникновения на ПК вредоносная программа сохраняет свою копию в одной из папок на накопителе, для обеспечения собственного запуска модифицирует системный реестр Windows и завершает выполнение сценария. Таким образом, основные вредоносные функции выполняются после перезагрузки системы.

В частности, зловред пытается инфицировать все подключенные к компьютеру накопители с именами от C до Z. Далее программа пытается связаться с управляющим сервером в Интернете: если это удаётся сделать, троян загружает и запускает на инфицированном устройстве сценарий на языке Python, который предназначен для кражи паролей, перехвата нажатия клавиш и удалённого выполнения команд.

Зловред способен красть информацию из популярных браузеров, делать снимки экрана, загружать дополнительные модули на Python и исполнять их, скачивать файлы и сохранять их на носителе инфицированного устройства, запрашивать информацию о системе и пр. 

Обнаружена новая версия опасного банковского Android-трояна Svpeng

«Лаборатория Касперского» предупреждает о появлении новой модификации вредоносной программы Svpeng, атакующей устройства под управлением операционных систем Android.

Svpeng — это мобильный банковский троян. Обнаруженная версия зловреда получила функциональность кейлоггера: программа способна записывать нажатия клавиш на устройстве, что позволяет перехватывать конфиденциальную информацию, скажем, логины и пароли.

Троян распространяется через вредоносные веб-сайты под видом фальшивого Flash-плеера. После проникновения на устройство Svpeng запрашивает права доступа к функциям для людей с ограниченными возможностями. В результате, зловред приобретает много дополнительных привилегий: например, получает доступ к интерфейсу других приложений и возможность делать скриншоты экрана каждый раз, когда на виртуальной клавиатуре набирается символ.

Вредоносная программа способна перекрывать окна других приложений. Это позволяет трояну выводить собственное фишинговое окно поверх интерфейса банковского приложения — такая тактика позволяет ввести жертву в заблуждение и получить конфиденциальные данные.

Кроме того, троян назначает себя приложением для SMS по умолчанию, получает доступ к контактам, а также выдаёт себе права совершать звонки. Плюс ко всему блокируются любые попытки отключить администраторские привилегии зловреда. Таким образом, троян делает своё удаление максимально трудным.

Основная часть атак новой версии Svpeng пришлась на Россию (29 %), Германию (27 %), Турцию (15 %), Польшу (6 %) и Францию (3 %). 

Троян Joao атакует пользователей онлайновых игр

Компания ESET предупреждает о появлении новой вредоносной программы, жертвами которой становятся поклонники онлайновых игр.

Зловред носит имя Joao. Он распространяется вместе с играми разработчика Aeria Games, доступными на неофициальных площадках. Главное предназначение Joao — загрузка и запуск в заражённой системе другого вредоносного кода.

Joao запускается на компьютере жертвы в фоновом режиме одновременно с игровым приложением, чтобы избежать подозрений пользователя. Инфицированная версия игры отличается только наличием «лишнего» файла mskdbe.dll в установочной папке.

После проникновения на ПК зловред собирает различную информацию. Это, в частности, имя устройства, версия операционной системы, сведения об учётной записи пользователя и привилегиях. Эта информация затем отправляется на сервер злоумышленников. Киберпреступники, в свою очередь, могут отдать трояну команды на установку тех или иных компонентов.

География распространения трояна

География распространения трояна

В зависимости от целей злоумышленников на компьютер жертвы могут быть загружены модули для удалённого доступа, шпионажа и проведения DDoS-атак (распределённых атак типа «отказ в обслуживании»). Случаи заражения зловредом Joao зафиксированы во многих странах, в том числе в России. 

Новый троян-майнер нацелен на платформу Linux

«Доктор Веб» предупреждает о появлении новой вредоносной программы, главной задачей которой является использование вычислительных ресурсов инфицированных компьютеров для добычи криптовалют.

Обнаруженный зловред атакует системы под управлением Linux: майнер получил обозначение Linux.BtcMine.26. Программа предназначена для добычи Monero (XMR) — криптовалюты, созданной в 2014 году.

Схема распространения зловреда сводится к следующему. Злоумышленники соединяются с атакуемым устройством по протоколу Telnet, подобрав логин и пароль, после чего сохраняют на нём программу-загрузчик. Затем киберпреступники запускают эту программу из терминала с помощью консольной команды, и на устройство загружается троян Linux.BtcMine.26.

Любопытно, что в коде загрузчика несколько раз встречается адрес сайта krebsonsecurity.com, принадлежащего известному эксперту по информационной безопасности Брайану Кребсу. С чем это связано, пока не совсем ясно.

В настоящее время известны сборки вредоносной программы для аппаратных архитектур x86-64 и ARM. Характерными признаками присутствия майнера могут служить снижение быстродействия устройства и увеличение тепловыделения в процессе его работы.