Перейти к содержанию
RuJN

Троянец Trojan.PWS.Banker.64540 подменяет содержимое веб-страниц

Recommended Posts

RuJN

Троянец Trojan.PWS.Banker.64540 подменяет содержимое веб-страниц

6 июня 2012 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — информирует о распространении вредоносной программы Trojan.PWS.Banker.64540, благодаря которой злоумышленники могут организовывать фишинговые атаки на пользователей инфицированных компьютеров.

Троянец Trojan.PWS.Banker.64540 состоит из двух компонентов: исполняемого файла и динамической библиотеки, при этом он имеет очень небольшой размер, порядка 80 Кбайт. Эта вредоносная программа использует для своего распространения ресурсы известной бот-сети Andromeda. Запустившись на инфицированной машине, Trojan.PWS.Banker.64540 копирует себя в одну из папок под именем msvcrt.exe и прописывает ссылку на данный файл в ветвь системного реестра, отвечающую за автоматическую загрузку приложений. Троянец проверяет, установлен ли он в системе. После этого вредоносная программа запускает себя на исполнение и внедряет код самоудаления в процесс svchost.exe. Информацию о выполненных операциях эта программа сохраняет в специально созданном файле журнала.

После запуска троянец осуществляет поиск данных по определенному шаблону в файлах, хранящихся на всех дисках инфицированного компьютера, кроме диска А. Обнаруженную информацию троянец шифрует и отправляет на один из принадлежащих злоумышленникам серверов, адреса которых хранятся в теле вредоносной программы.

Основное предназначение Trojan.PWS.Banker.64540 — внедрение в Internet Explorer собственного компонента. Он содержит веб-инжекты, позволяющие подменять содержимое веб-страниц при обращении к ряду сайтов, таких как visa.com, mastercard.com, americanexpress.com, discovercard.com. Сигнатура данной угрозы добавлена в антивирусные базы Dr.Web.

Источник: http://news.drweb.com/?i=2482&c=5&lng=ru&p=0

P.S. У них с русским усе ок? Нельзя как-то в каждом предложение слово "троянец" не повторять? Али доктора занялись SE-оптимизацией под Google, который сами же забанили частично?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN

С маркетинговой точки зрения такое никому неприятно читать :)

То пр отдел успешно пиарит ботнет под мак, а вот новости грамотно составлять не может?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
P.S. У них с русским усе ок? Нельзя как-то в каждом предложение слово "троянец" не повторять? Али доктора занялись SE-оптимизацией под Google, который сами же забанили частично?

С маркетинговой точки зрения такое никому неприятно читать smile.gif

Директор по маркетингу и генеральный директор компании (именно в таком порядке в данном случае) утвердили только слова "троянец" и "вредоносная программа" для описания троянцев :)

Поэтому получается тавтология. Не то, что это "плохо с русским", сколько утомляет при чтении.

Здесь бы нужно обращать внимание на другое. Ничего нового в этом троянце нет. А что действительно интересно (что ж там шифруется и отправляется и куда) - остаётся открытым. Подменяли страницы и раньше, и отправляли информацию с заражённых компьютеров тоже раньше, и шифровали тоже раньше. Но с русским языком - да, нехорошо :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN

Ага, товарищ, которое это писал, предварительно созвонился с Шаровым по скайпу, чтобы проконсультироваться - а вдруг клавиатура протрется от такого вот количества всяких бессмысленных новостей ;)

Вспомнилась история про покупку картриджа в немецком офисе :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Зря смеётесь. Я знаю, о чём говорю. Когда писал такие новости для этой компании, всё было очень серьёзно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Обращал внимание, что "троянец" - чисто докторовский термин. Большинство ИМХО пишет все же "троян" или уже "троянская программа". Мне ближе более короткий вариант "троян", в контексте двусмысленности не возникнет.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Dima2_90
      На мой взгляд то, что Process Hacker выгружает антивирусы - явление нормальное, потому что Process Hacker - легитимная программа (по мнению некоторых вендоров -  потенциально опасная), а не троянская, и  команду на выгрузку антивируса даёт сам пользователь ( выбрав процесс в списке и нажимая "Terminate"), то есть это действие (завершение процесса, отвечающего за работу антивируса) санкционировано самим пользователем.
    • rownong
      Здравствуйте. Есть следующая инфраструктура (VPS куплены у хостинг-провайдера).  VPS сервер 1.
      На нем:
      - Несколько баз данных MySQL 
      - Папки (с сайтами, веб-приложениями, скриптами)
      - Установленные программы
      > Панель управления Vesta
      > MySQL-сервер
      > PhpMyAdmin
      > FTP-сервер
      - Задачи крона VPS сервер 2.
      На нем:
      - Asterisk (с конфигурациями) В перспективе VPS сервер 3.
      На нем будет располагаться ERP организации (база данных, бекенд Laravel, фронтенд Vue.js).  Нужно обеспечить безопасность данной IT инфраструктуры, закрыть максимум уязвимостей.
      Чтобы злоумышленники не могли, просмотреть / украсть: пароли в конфигах PHP скриптов, данные БД Таблиц MySQL, не имели доступ к  Asterisk, данным ERP, защита от sql инъекций, DDoS-атак и т.д. Вопросы: 1. В представленной инфраструктуре, каких технические специалисты должны делать аудит ? PHP-программист, системный администратор, или есть отдельные специалисты которые занимаются безопастностью в IT? 2. Я правильно понимаю, что выполнение задачи будет разбито на 2 этапа:
      - аудит (когда будут выписаны замечания)
      - реализация мер по устранению замечаний
      ?? 3. Как выбрать аудиторов?
      Достаточно фрилансеров или нужно обращаться в организацию? 4. Как определить компетенции аудиторов в обеспечении безопасности в IT? 5. Имеет смысл  нанимать сразу 2-х аудиторов?
      Потом реализовывать замечания обоих аудитов? 6. В какой формате проводятся аудиты по безопасности?
      Нужно будет прислать специалистам доступы ко всем системам? 7. Целесообразно делать аудит VPS без аудита офисного железа (компьютеры, роутеры, файловый сервак)?
      Теоретически на компьютерах могут быть уязвимости к вирусам которые доступы крадут от VPS, но проверять еще компы всей организации, сильно увеличит время на аудит.  
    • Draft
      К Сереге лысому, моему другу, приходят и жалуются, мол разводят их как лохов
    • Quincy
      К тебе именно приходит и на сайт жалуется?)))) 
    • PR55.RP55
      https://github.com/dragokas/hijackthis/blob/devel/src/_ChangeLog_ru.txt Стоит прочесть и найти полезное. Типа: Добавлена зачистка зависимостей легитимных служб от удаляемой службы.
      Добавлен запрет программе на перезагрузку серверных ОС с запросом к пользователю сделать это вручную.
      Добавлена проверка типа виртуализации ключей реестра.
×