Перейти к содержанию
radioelectron

Пользователи сайта "В Контакте.Ру" стали жертвами компьютерного вируса

Recommended Posts

radioelectron

Пользователи популярной социальной сети "ВКонтакте.Ру" стали жертвами серьезной вирусной эпидемии, говорится в сообщении компании "Доктор Веб", служба вирусного мониторинга которой зарегистрировала вредоносную программу.

В сообщении уточняется, что причиной эпидемии стал опасный сетевой "червь", который рассылает с инфицированных машин другим пользователям сети "ВКонтакте.Ру" ссылку на картинку в формате jpeg, ведущую на ресурс злоумышленника в сети интернет (http://******.misecure.com/deti.jpg). Реально же сервер передает по этой ссылке исполняемый файл deti.scr, который и является непосредственно сетевым "червем".

Будучи запущенным на компьютере жертвы, червь сохраняет на диске саму картинку, которая и вызвала любопытство неосторожного пользователя, и запускает штатное приложение, используемое в системе для просмотра файлов jpeg. Таким образом, пользователь видит то, что ожидал увидеть, не подозревая, что стал жертвой злоумышленника.

Между тем, скопировав себя в папку на жестком диске компьютера жертвы под именем svc.exe, "червь" устанавливается в системе в качестве сервиса Durov VKontakte Service и ищет пароль к доступу к "ВКонтакте.Ру". Если пароль находится, то "червь" получает доступ ко всем контактам своей жертвы в данной сети и рассылает по этим контактам все ту же ссылку.

"Червь" несет в себе опасную деструктивную функцию. 25 числа каждого месяца в 10 часов утра на экране компьютера будет выводиться следующее сообщение (орфография сохранена):

Павел Дуров Работая с "ВКонтакте.РУ" Вы ни разу не повышали свой рейтинг и поэтому мы не получили от Вас прибыли. За это Ваш компьютер будет уничтожен! Если обратитесь в милицию, то сильно пожалеете об этом!
Одновременно с этим начнется удаление с диска C всех файлов, говорится в сообщении.

"Если пользователь будет достаточно долго вчитываться в данный текст и предастся размышлениям относительно его содержания, он рискует потерять не только все системные файлы, но и свои файлы данных - документы, фотографии, электронные письма и многое другое", - предостерегают эксперты "Доктор Веб".

"Поэтому самое лучшее действие при появлении такого сообщения - немедленное выключение питания компьютера, что позволит, по крайней мере, сохранить если не все данные, то хотя бы их часть", - советуют они.

В сообщении также отмечается, что специалисты компании "Доктор Веб" предупредили об опасности сайт "ВКонтакте.Ру", в результате чего распространение червя практически прекратилось. Тем не менее, специалисты компании рекомендуют пользователей сайта, которые посмотрели картинку на названном выше ресурсе, проверить свой компьютер на вирусы.

102825142.jpg

© http://www.rian.ru/

post-3845-1210961708_thumb.jpg

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Alex_Goodwin

Забавно.. мне в личку вконтакте пришла такая ссылка, но она уже мертвая :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Забавно.. мне в личку вконтакте пришла такая ссылка, но она уже мертвая :(

Мне тоже пришла. Судя по всему, ссылка живая только на один уникальный заход с айпишника.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Социальные сети, такие как facebook, MySpace, Orkut и т.д., являются одними из наиболее популярных сетевых ресурсов современного Интернет. Фактически, именно они олицетворяют собой то, что называется Web 2.0.

Авторы вредоносных программ уже обратили свое внимание на социальные сети и некоторые из них становились объектами атак, в том числе нацеленных на получение персональных пользовательских данных.

В России среди социальных сетей наибольшей популярностью пользуются проекты Vkontakte, Odnoklassniki и LiveJournal.

Вчера и сегодня мы обнаружили распространение сетевого червя Rovud, который распространяется среди пользователей системы VKontakte.

Первый вариант червя был обнаружен рано утром 16 мая. Принцип его действия достаточно прост, но вместе с тем оригинален:

Тело червя размещено на одном из сайтов (возможно, взломанном) под именем deti.jpg. Для первого варианта червя ссылка имела вид:

hxxp://Roland.misecure.com/deti.jpg

На самом деле это не файл изображения, а исполняемый файл.

Будучи запущенным на компьютере – червь ищет cookies пользователя ВКонтакте, после чего использует их для соединения с сайтом и начинает рассылать вредоносную ссылку всем «контактам» зараженного пользователя.

Если кто-нибудь из них проследует по ссылке, загрузит и запустит файл – цикл заражения повторится и теперь уже и «контакты» новой жертвы так же получат эту ссылку.

Работа червя сопровождается визуальными эффектами. Так, при запуске, он показывает на экране картинку:

rovud.jpg

Кроме того, червь обладает деструктивной функцией. 25 числа он выводит на экран следующий текст:

drv.jpg

После чего начинает удалять файлы на компьютере жертвы.

Несмотря на то, что первый вариант червя достаточно быстро был обнаружен и другими антивирусными компаниями, а служба поддержки «ВКонтакте» была проинформирована об инциденте – остановить эпидемию за один день не удалось.

Неизвестные авторы червя изменили формат ссылки на зараженный сайт, которая посылается контактам жертвы, и таким образом смогли инициировать новую волну эпидемии. Очевидно, что администрация ВКонтакте просто программно запретила сообщения с ссылкой на файл deti.jpg. Авторы червя очень элегантно обошли это «ограничение».

Вариант Rovud.c рассылал ссылку:

hxxp://vkontakte.ru/away.php?to=%68%74%74%70%3a%2f%2f%72%6f%6c%61%6e%64%2e%6d%

69%09%73%65%09%63%75%72%65%2e%63%6f%6d%2f%64%65%74%69%2e%6a%70%67

В результате нажатия на нее – пользователь перенаправлялся все на тот же самый сайт (hxxp://roland.misecure.com/deti.scr

rovud2.jpg

Новый вариант — Rovud.c был обнаружен утром 17 мая и в настоящее время количество обращений от пользователей, обнаруживших его «вредоносные» ссылки в своих учетных данных ВКонтакте – значительно превышает число запросов, связанных с первой версией червя!

Что еще более интересно – у этого червя существует предыстория. Дело в том, что за день до его появления, по Рунету прошлая массовая волна фишинговой атаки. Ее целью являлась «накрутка» рейтинга некоего пользователя:

Вконтакте.ру начинает розыгрыш призов, а также гарантированный бонус в размере +300% к Вашему текущему рейтингу.

Для получения бонуса и участия в розыгрыше призов — отправьте бесплатное СМС с текстом: id10682124 на номер 4449

С уважением,

Администрация Вконтакте.ру

Разумеется, она не бесплатная – стоимость смс составляет $0.30 без НДС.

В тот же день личная страничка данного пользователя была удалена администрацией ВКонтакте.

А на следующий день появился червь Rovud – обыгрывающий тему с повышением рейтинга и «адресованный» якобы от Павла Дурова, создателя проекта ВКонтакте.

Что это – просто месть «обиженных» хакеров или же некая продуманная атака против ВКонтакте, призванная подорвать его репутацию и снизить число пользователей – мы не знаем.

На момент написания этого поста – файл червя уже удален с сайта, с которого происходило его распространение. Однако, это не исключает того, что в ближайшее время в Рунете появится очередной вариант Rovud.

http://www.viruslist.com/ru/weblog

post-413-1211023926_thumb.jpg

post-413-1211023959_thumb.jpg

post-413-1211030940_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rayoflight

На картинке в первом посте Масштабные атаки компьютерных вирусов не хватает почему-то Blaster Worm (aka Lovsan or Lovesan).Знатный был вирус в своё время.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
radioelectron

Павел Дуров опубликовал запись в своем блоге:

6.png

post-3845-1211035706_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

"Из всех крупных русскоязычных ресурсов только Вконтакте предупреждает Вас о потенциальной угрозе при переходе по внешней ссылке на сторонний сайт".

угу. остальные "крупные русскоязычные ресурсы" (ну понятно что он имеет в виду врагов-"одноклассников") - насколько я знаю, вообще не поддерживают гиперссылок в подобных случаях. Соответственно никто никуда не перейдет и никого ни о чем предупреждать не надо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT
и другими антивирусными компаниями

улыбнуло)))

Доктор помоему первей детектить начал...

По поводу одноклассников -- имхо, жалкое подобие социальной сети... по сравннию с Контактом! =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
улыбнуло)))

Доктор помоему первей детектить начал...

Я за свои слова отвечаю.

http://www.kaspersky.ru/viruswatchlite?sea...mp;x=20&y=3

http://updates.drweb.com/

AntiDurov

drwtoday.vdb (2008-05-16 16:42:39, MD5: 29000094a0af6ceb0292fe76e4214a3b)

first matched record: 2008-05-16 16:42:39

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun
имхо, жалкое подобие социальной сети...

Явный оффтоп - достоинства и недостатки сайта "Одноклассники" обсуждаем в другой теме.

вообще не поддерживают гиперссылок в подобных случаях.

Абсолютно верно - на "Одноклассниках" спамерам приходится изощряться в имитации ссылки в своём сообщении, красить её в синий цвет, но правда толку от этого не очень много, ссылка от этого не становится кликабельнее :P

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

http://www.securitylab.ru/news/353156.php?pagen=2#68025

З.З.З.Ы. Посетила мну мысль одна - ежели я сижу за проксёй, защищенной супер-пупер дрвебом, с обновлениями баз раз в час по шедулеру, кидаю этот файлик между серваками на самбе, защищенными самым обалденным в мире антивирусом (дрвеб), то что-то здесь не так ...

Сначала мы закричим о том, что есть суперпупермегаопасный вирус, но обновления сигнатур выложим через недельку? /me тихо фигеет от этого :)

Отредактировал Umnik

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT
Я за свои слова отвечаю.

http://www.kaspersky.ru/viruswatchlite?sea...mp;x=20&y=3

http://updates.drweb.com/

AntiDurov

drwtoday.vdb (2008-05-16 16:42:39, MD5: 29000094a0af6ceb0292fe76e4214a3b)

first matched record: 2008-05-16 16:42:39

гы забавно! подстава какая то были жалобы от юзеров что Каспер не детектит... не стоят апдейты каждые пол часа? ыыы)) неверю!

Кроме того, как видно из ссыок, вторая версия, у доктора уже было в базах в 16:42 минус часа 2-3 назад наверно был обнаружен...

У Касперских апдейты пришли в 23:12. Это всё равно что Юзеры получили противоядие на след день =), а следовательно были подвержены риску ;-) вдруг удаление было бы не 25-ого, а 17-ого...

Кстати, имхо, очень показательно сработали ориджины -- детектили и 16-ого новую и с утра новую версию этого червя... не сигнатурно. круто! =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Ну и кого Вы там отвечаете?

Как видно из ссыок у доктора уже было в базах в 16:42 минус часа 2-3 назад наверно был обнаружен...

У Касперских апдейты пришли в 23:12. Это всё равно что Юзеры получили противоядие на след день =) а следовательно были подвержены риску ;-) вдруг удалениебыло бы не 25-ого а 17-ого...

Со зрением проблемы ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT

Кроме того забавная ситуация с первым семплом.... ахаха который ровуд.а

интересно почему др веб детектит семпл1 как Win32.HLLW.AntiDurov, а касперы как ровуд.б и Win32.HLLW.AntiDurov.2, как ровуд.цэ. И в инете что то нет ссылок на версию а? куда делся а?

гы гы гы)))

з.ы. это конечно меряние пи**ками, но всё же речь идёт о возможно серьезной эпидемии... ;-) крмое того не хорошо, имхо, обмановать усеров. Честно надо играть.

http://www.google.ru/search?aq=f&compl...q=Win32.Rovud.a

http://www.google.ru/search?aq=f&compl...q=Win32.Rovud.b

http://www.google.ru/search?aq=f&compl...q=Win32.Rovud.c

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Кроме того забавная ситуация с первым семплом.... ахаха который ровуд.а

интересно почему др веб детектит семпл1 как Win32.HLLW.AntiDurov, а касперы как ровуд.б и Win32.HLLW.AntiDurov.2, как ровуд.цэ. И в инете что то нет ссылок на версию а? куда делся а?

гы гы гы)))

похоже у вас не только со зрением, но еще с нейроклетками проблемы?

давайте уж сразу скажите, что никакого варианта rovud.a в природе не существует, а его детектирование было lдобавлено в 6 утра 16 мая просто так - аналитикам делать было нечего, а потом чтобы замести следы им пришлось писать варианты Б и С.

Чего мелочиться ?

А ну еще и про русток.цэ можете вспомнить, давайте уж :)

P.S. Для тугодумающих - объясняю еще раз: наша новость освещает ситуацию с вариантом .C - который бахнул гораздо сильней, чем а\б, о которых писал DrWeb. Убедиться в этом можно сравнив ссылки, которые разошлись по пользователям вконтакте. Поспрашивайте знакомых, какую именно они получали и все поймете.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT

Ой да ладно... Я молчу! Вам виднее =) чего там кто добавил.

Пусть пользователи сами сопоставляют факты.

Но я думаю, как вы написали -- так оно и есть =)

"вариантом .C" детектился ещё до его существования Доктор Вэбом))))) origin'ами

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Ой да ладно... Я молчу! Вам виднее =) чего там кто добавил.

Пусть пользователи сами сопоставляют факты.

Но я думаю, как вы написали -- так оно и есть =)

Пользователи (и дрвеб и касперского) защищены и проблема решена. Чего вам вообще неймется - не пойму. Вы Трендом пользуетесь что ли ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Павел Дуров опубликовал запись в своем блоге:

За спасибо, что сказал про отказ от ослика. Может, хоть пара процентов прочитавших пост задумаются :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT

Ага, я пользуюсь вэб вошером ;-)

А., Ну ради интереса кинь семпл ровуд.а на вирустотал... и скрин тут запость, заодно и глянем...

з.ы. Извиняюсь за флуд.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

я не знаю кто там раньше какую из версий задетектил, но отпиарился на этой теме Доктор - все новостные ссылки на него

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
я не знаю кто там раньше какую из версий задетектил, но отпиарился на этой теме Доктор - все новостные ссылки на него

кто о чем, а вшивый о бане

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
кто о чем, а вшивый о бане

http://www.virustotal.com/ru/analisis/c078...fdfda6078f68c04

http://www.virustotal.com/ru/analisis/77c7...91c62e9e3051cdb

главное чтоб к 25му остальные подтянулись :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
BeAsT

Т.е., много уважаемый А., вы не можете привести детект семпла ровуд.а?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Т.е., много уважаемый А., вы не можете привести детект семпла ровуд.а?

знаете, ночью в субботу и утром-днем воскресенья у меня есть более приятные занятия, чем ехать на работу и брать сампл для удовлетворения вашего любопытства.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Шабанов

"Вчера примерно с 14 часов все пользователи, которые получили картинку с вирусом на сайте Vkontakte.ru были автоматически переправлены на соответствующую новость на SecurityLab.

В результате такой оригинальной атаки нагрузка на наш сервер возросла почти в 10 раз, и за пол дня пришло более 100.000 уникальных пользователей, что привело к значительным трудностям при доступе к сайту в первые часы атаки, однако специальные меры позволили быстро восстановить доступ к сайту"

Источник SecurityLab

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×