Перейти к содержанию
Сергей Ильин

Троянской программой RpcTonzil заражено не менее 50,000 пользователей социальной сети ВКонтакте

Recommended Posts

Сергей Ильин

Санкт-Петербург, 10 июня 2013 г. – Компания Cezurity, российский разработчик средств защиты от вредоносных программ и хакерских атак, сообщает о том, что в текущий момент характер заражения пользователей социальных сетей троянской программой Trojan.RpcTonzil принимает характер эпидемии.

Так, по оценке вирусной лаборатории Cezurity, сегодня этой вредоносной программой заражено не менее 50,000 участников ВКонтакте. К такому выводу привел анализ данных, получаемых с помощью Cezurity Cloud - облачной технологии антивирусной защиты нового поколения, которая способна обнаруживать подобные угрозы с помощью выявления аномалий в файлах. Большинство антивирусных продуктов способны обнаружить лишь некоторые модификации Trojan.RpcTonzil. Заражению могут быть подвержены компьютеры под управлением операционных систем Microsoft Windows, причем как 32-битных, так и 64-битных.

В результате заражения злоумышленники получают целый ряд возможностей - от получения доступа к аккаунтам в социальной сети и последующей рассылки спама с взломанных страниц до похищения персональных данных пользователей и СМС-мошенничества.

Троянская программа Trojan.RpcTonzil модифицирует запросы компьютеров к DNS-серверу. В результате при попытке зайти в социальную сеть пользователь оказывается на специально созданной злоумышленниками фишинговой web-странице, которая имитирует и практически неотличима от страницы ВКонтакте, где сообщается о том, что аккаунт социальной сети был взломан. Злоумышленники предлагают создать новый пароль и верифицировать привязку своего номера мобильного телефона к аккаунту в социальной сети. Пользователей может обмануть адрес, который отображается в адресной строке браузера - он полностью соответствует правильному и возникает ощущение, что страница действительно принадлежит ВКонтакте.

Троян также блокирует доступ к сайтам большинства антивирусных компаний и серверам обновления Microsoft. Таким образом, у антивирусных лабораторий зачастую нет достаточного количества данных для того, чтобы заметить распространение заражения. Отдельные варианты Trojan.RpcTonzil были обнаружены и детектировались антивирусными компаниями уже с начала марта этого года. Однако, на сегодняшний день распространение Trojan.RpcTonzil продолжается и большинством антивирусов вредоносная программа либо вообще не обнаруживается, либо детектируются лишь некоторые модификации.

Трудность обнаружения всех модификаций Trojan.RpcTonzil связана с тем, что в троянской программе используется достаточно сложная техника сокрытия от антивирусов. При этом на компьютеры жертв троянская программа может попадать различными способами. В некоторых случаях заражение может быть предотвращено встроенными в антивирусы поведенческими механизмами защиты.

"После заражения компьютера троянская программа существует только в зашифрованном виде. Ее расшифровка и автозапуск осуществляется с помощью небольшой модификации системной библиотеки rpcss.dll, - говорит Кирилл Пресняков, ведущий вирусный аналитик Cezurity, - троян использует технику заражения, похожую на метод EPO (Entry Point Obfuscation, скрытая точка входа). Большинство антивирусов не способно детектировать заражение, произведенное таким образом, то есть, не зная вируса "в лицо" - они могут обнаружить этот троян только по поведению. Осложняет детектирование и тот факт, что внедренный в системную библиотеку фрагмент носит условно-случайный характер".

Другим возможным препятствием для обнаружения и лечения вредоносной программы может быть географическая направленность атаки - заражение причиняет вред только пользователям российских социальных сетей.

"Эта троянская программа любопытна не как образец техники заражения - антивирусная индустрия давно знакома с похожими методами - говорит Алексей Чалей, генеральный директор Cezurity, - скорее история распространения трояна хорошо иллюстрирует сложившуюся в антивирусной индустрии ситуацию. Так, вредоносная программа известна уже три месяца, продолжает распространяться, однако, большинством антивирусных продуктов либо вообще не обнаруживается, либо они не способны корректно вылечить компьютер после заражения”.

Компания Cezurity рекомендует пользователям проверить компьютер бесплатным Антивирусным Сканером, который сегодня обнаруживает все известные модификации Trojan.RpcTonzil.

********************

Получается все остальные аверы профукали локальную эпидемию? <_<

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег

Он - http://virusinfo.info/virusdetector/report...75FB78CF4CD4BE6 ? Просто их детект "Trojan.RpcTonzil " мало о чем говорит, но описание весьма похоже ....Так их в том-же VirusDetector кучи приходят от пользователей, больше месяца как поток идет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Так их в том-же VirusDetector кучи приходят от пользователей, больше месяца как поток идет.

Да, на VirusInfo куча людей приходит как раз с такими симптомами, как описано выше. Я тоже сразу подумал, что мы эту эпидемию, если ее можно так называть, видим хорошо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Milord

Эпидемию видели и молчали, не хорошо)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

https://www.virustotal.com/ru/file/2dd40dde...sis/1370934701/

https://www.virustotal.com/ru/file/708243d4...sis/1370934549/

А вот лечить действительно мало кто умеет. Доктор до сих пор системы убивает. Касперский кстати первый кто добавил лечение этого троянца, правда, обзор почему-то не написали.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kolan
Доктор до сих пор системы убивает.

До сих пор? Откуда такая уверенность?

Там пост от середины апреля.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Milord

Касперский справляется, проверено.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Обсуждение компании Cezurity выделено в отдельную верку

http://www.anti-malware.ru/forum/index.php?showtopic=26097

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
B .

Проблема с удалением rpcss.dll давно поправлена уже, не сейте панику. Если использовать актуальную версию CureIT, сканера и свежие базы, никаких проблем не будет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Компания ESET ― лидер в области информационной безопасности ― сообщает о выходе новой версии продуктов ESET NOD32 Antivirus, ESET Internet Security и ESET Smart Security Premium для пользователей операционной системы Windows. Основными новинками стали функция LiveGuard для дополнительной защиты от неизвестных угроз, платформа для управления безопасностью ESET HOME, а также другие усовершенствования функционала для всесторонней безопасности устройств. Новая платформа для управления безопасностью В условиях постоянных кибератак обеспечения защиты своих устройств становится необходимостью. Поскольку смартфоны активно используются пользователями, управление безопасностью с их помощью является решающим. Именно поэтому было обновлено платформу для управления безопасностью домашних устройств ESET HOME (ранее известная как myESET), которая обеспечивает полный обзор всех решений ESET для операционных систем Windows и Android. В частности, пользователи могут видеть текущие статусы защиты различных устройств, подключенных к их учетным записям. Стоит отметить, что ESET HOME доступна через веб-портал и мобильное приложение для Android и iOS с возможностью управления безопасностью на ходу. Приложения позволяют пользователям добавлять лицензии и делиться ими с семьей и друзьями, а через веб-портал можно дополнительно осуществлять Управление паролями, Антивором и Родительским контролем. Основные преимущества версии 15 Современные технологии ― защита онлайн-платежей теперь работает по умолчанию, защищая любой поддерживаемый браузер с помощью усиленного режима. Благодаря методам обнаружения на основе поведения улучшена защита от программ-вымогателей, а также усовершенствована защита от дополнительных вредоносных техник. Новая функция LiveGuard (реализована в ESET Smart Security Premium) обеспечивает дополнительный уровень защиты пользователей от ранее неизвестных угроз, предотвращая запуск вредоносного кода. Этот сервис анализирует подозрительные файлы, включая документы, скрипты, инсталляторы и исполняемые файлы, в безопасной среде песочницы. Обновленное управление паролями (доступно в ESET Smart Security Premium) предусматривает улучшенный уровень безопасности и простоту использования. Стоит отметить, что управление паролями доступно во всех основных браузерах как расширение и на устройствах Android и iOS как отдельное приложение. Кроме этого, обновленный функционал обеспечивает поддержку KeePass и Microsoft Authenticator. «Мы обеспечиваем защиту пользователей в соответствии с последними достижениями в области кибербезопасности. Обновленные продукты, включая новую функцию LiveGuard и платформу ESET HOME, позволяют пользователям контролировать безопасность и управлять несколькими устройствами на ходу. Для нас важно обеспечить защиту пользователей с помощью передовых решений, которые простые и удобные в использовании», ― прокомментировала Мария Трнкова, директор ESET в сегменте решений для защиты домашних устройств и Интернета вещей. Пресс-выпуск.
    • Ego Dekker
      Для активации программы щёлкните правой кнопкой мыши на значок в области уведомлений и выберите в меню пункт «Активируйте программу». Активацию антивируса также можно выполнить, последовательно щёлкнув в главном меню элементы «Справка и поддержка» → «Активация продукта/изменение лицензии» или «Домашняя страница» → «Активировать продукт». Для активации пробной версии нужно выбрать вариант «Лицензия на бесплатную пробную версию», заполнить поля, затем нажать «Активировать». Зарегистрированным пользователям нужно ввести лицензионный ключ, полученный после активации лицензии. При наличии имени пользователя и пароля для домашнего антивируса ESET их можно преобразовать в лицензионный ключ для версии 15.
       
              ESET NOD32 Antivirus 15.0.16  (Windows 7 SP1/8/8.1/10/11, 32-разрядная)
              ESET NOD32 Antivirus 15.0.16  (Windows 7 SP1/8/8.1/10/11, 64-разрядная)
              ESET Internet Security 15.0.16  (Windows 7 SP1/8/8.1/10/11, 32-разрядная)
              ESET Internet Security 15.0.16  (Windows 7 SP1/8/8.1/10/11, 64-разрядная)
              ESET Smart Security Premium 15.0.16  (Windows 7 SP1/8/8.1/10/11, 32-разрядная)
              ESET Smart Security Premium 15.0.16  (Windows 7 SP1/8/8.1/10/11, 64-разрядная)
                                                                   ● ● ●
              Руководство пользователя ESET NOD32 Antivirus 15  (PDF-файл)
              Руководство пользователя ESET Internet Security 15  (PDF-файл)
              Руководство пользователя ESET Smart Security Premium 15  (PDF-файл)
              
      Полезные ссылки:
      Технологии ESET
      Стать пользователем антивируса ESET
      Форум российского представительства ESET
      Удаление антивирусов других компаний
      ESET Online Scanner
      ESET SysRescue Live (диск аварийного восстановления)
      Как удалить антивирус 15-й версии полностью (пользователям Windows)?
      Прислать образец вируса или сообщить о ложном срабатывании*.
      * Чтобы антивирус смог вылечить заражённый файл, нужно отправить такой файл в архиве с паролем «infected» на адрес [email protected] с темой «[virus_name] — cleaner needed», где [virus_name] — название файлового вируса.
    • PR55.RP55
      Хорошо бы, чтобы uVS мог "самостоятельно" пополнять базу проверенных. Так: Оператор указывает каталог где находятся файлы установки:  Типа: Firefox Setup 93.0.exe  ;  472.12-desktop-win10-win11-64bit-international-whql.exe;  и т.д. А программа "сама" их  распаковывает и пополняет базу проверенных. По хорошему ещё можно задать список\исключения\игнорирования - вложенных файлов. nvgwls.exe - не распаковывать. NvCplSetupInt.exe  - распаковать и т.д. Это позволит существенно быстрее пополнять базу + экономя времени.    
    • demkd
      ---------------------------------------------------------
       4.11.12
      ---------------------------------------------------------
       o В обработчик BITS добавлен разбор командной строки нотификации. (BITS v1.5+)  o Добавлено автоматическое определение NTFS линков.  
    • Ego Dekker
      Антивирусы для macOS были обновлены до версии 6.11.2. В числе прочего добавлена поддержка macOS Monterey (версия 12).
×