Новый Trojan.Winlock собирает данные банковских карт у зарубежных пользователей - Современные угрозы и защита от них - Форумы Anti-Malware.ru Перейти к содержанию
AM_Bot

Новый Trojan.Winlock собирает данные банковских карт у зарубежных пользователей

Recommended Posts

AM_Bot

12 июля 2011 года

Различные модификации троянцев-блокировщиков, нарушающих нормальную работу Windows, появляются с завидной регулярностью. Компания «Доктор Веб» — ведущий российский разработчик систем информационной безопасности — сообщает о появлении новой троянской программы данного типа, ориентированной, в отличие от своих предшественниц, на зарубежных пользователей Windows и требующей у них передать злоумышленникам данные банковских карт.

Первые случаи заражения вредоносными программами семейства Trojan.Winlock были зафиксированы еще в конце 2007 года, а в период с ноября 2009 по февраль 2010 года их распространение приняло буквально эпидемический характер. По интерфейсу и принципу действия новая модификация троянца — Trojan.Winlock.3794 — напоминает те самые, ранние модификации «винлоков», хорошо известные в России, разве что рассчитана она на зарубежных пользователей.

Данная версия троянца-блокировщика, как и многие ее предшественницы, маскируется под встроенный механизм активации операционной системы Windows XP (Microsoft Product Activation, MPA). Окно программы, блокирующее Рабочий стол Windows, сообщает о том, что данная копия Microsoft Windows ранее уже была активирована другим пользователем, и предлагает повторить процедуру активации. В случае выбора варианта No, I will do it later («Нет, я сделаю это позже») операционная система демонстрирует «синий экран смерти». Если же пользователь согласится выполнить повторную активацию, ему будет предложено ввести в соответствующие поля формы реквизиты банковской карты, включая полные данные владельца, номер карты, CVV2 и даже пин-код. Излишне говорить о том, чем именно чревата передача указанных сведений в руки злоумышленников.

T_W_3794_screen_1_250.gif

T_W_3794_screen_2_250.gif

С архитектурной точки зрения троянец Trojan.Winlock.3794 реализован достаточно примитивно, что характерно для всех вредоносных программ этого семейства. Попадая в систему, он записывает ссылку на самого себя в отвечающей за автозагрузку приложений ветке системного реестра. В результате блокируется нормальная работа Windows как в обычном, так и в защищенном режиме. Помимо этого троянец блокирует запуск любых приложений операционной системы, включая Диспетчер задач, Восстановление системы и т. д., что несколько затрудняет борьбу с ним подручными средствами.

Следует отметить, что это — первый случай появления троянца-блокировщика, собирающего данные о банковских картах. Напомним, что ранее подобные программы-вымогатели обычно требовали от пользователя отправить платное SMS-сообщение на указанный сервисный номер или пополнить счет одного из российских сотовых операторов. Очевидно, что с появлением Trojan.Winlock.3794 создатели «винлоков» вышли уже на международный уровень и в ближайшем будущем можно прогнозировать появление более изощренных угроз подобного типа, включая троянские программы, модифицирующие MBR.

Антивирусы Dr.Web успешно справляются с любыми модификациями семейства Trojan.Winlock, включая и эту. В любом случае, соблюдение всего лишь нескольких несложных правил позволит вам надежно обезопасить себя от возникновения подобных неприятностей:

  • Используйте обновленное антивирусное программное обеспечение. Периодически производите проверки компьютера на наличие вирусов и других вредоносных программ.
  • Вовремя обновляйте вирусные базы, поддерживая их в актуальном состоянии.
  • Регулярно устанавливайте обновления безопасности, рекомендованные производителем вашей операционной системы.
  • Не запускайте подозрительные приложения или самораспаковывающиеся архивы, загруженные из Интернета или полученные из неблагонадежных источников.
  • Если вы все-таки стали жертвой данного троянца, воспользуйтесь средством аварийного восстановления системы Dr.Web LiveCD и лечащей утилитой Dr.Web CureIt!

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Не понял, а в чем тут новость ??

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
goover

Наверное в этом:

Следует отметить, что это — первый случай появления троянца-блокировщика, собирающего данные о банковских картах.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Наверное в этом:

Но это же не правда.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
goover

В чём не правда ? Рассказывайте уж ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Программа для удаления продуктов ESET обновилась до версии 9.0.8.0. Для просмотра всех команд запустите утилиту с параметром /help.
    • PR55.RP55
      И возможно добавить в Инфо. поддержку просмотра NTFS Alternate Data Streams Для получения доп. информации по файлам - автозапуска.    
    • santy
      RP55,  особого смысла в этом нет. Возможно, стоит добавить в эвристику программы добавление статуса "подозрительный" для файла размером (св. 500Мб или больше), если он  в автозапуске. Так как в некоторых случаях майнеры используют файлы больших размеров, чтобы обойти антивирусную защиту.
    • PR55.RP55
      При копировании известного файла файла uVS v5.0.RC2.v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] GATHERNETWORKINFO.VBS._628B6B4BF3CC7F77578CF3CCFCC587DBF9EC7E07 https://disk.yandex.ru/i/LpsxRQ6EMkF23w    
    • PR55.RP55
      При копирование файла в Zoo Операторы могут не обратить внимания на размер файла. Предлагаю при превышении лимита = 650mb добавить в Лог соответствующее предупреждение: Файл скопирован в ZOO; Превышен лимит virustotal.com Для чего ? Часто операторы предлагают поместить скопированный файл на сайт, или проверить его на V.T. а это потеря времени. Одна "ошибка" приводит к другой "ошибке"  
×