Пользователи сайта "В Контакте.Ру" стали жертвами компьютерного вируса

[radioelectron 80]

Пользователи популярной социальной сети "ВКонтакте.Ру" стали жертвами серьезной вирусной эпидемии, говорится в сообщении компании "Доктор Веб", служба вирусного мониторинга которой зарегистрировала вредоносную программу.

В сообщении уточняется, что причиной эпидемии стал опасный сетевой "червь", который рассылает с инфицированных машин другим пользователям сети "ВКонтакте.Ру" ссылку на картинку в формате jpeg, ведущую на ресурс злоумышленника в сети интернет (http://******.misecure.com/deti.jpg). Реально же сервер передает по этой ссылке исполняемый файл deti.scr, который и является непосредственно сетевым "червем".

Будучи запущенным на компьютере жертвы, червь сохраняет на диске саму картинку, которая и вызвала любопытство неосторожного пользователя, и запускает штатное приложение, используемое в системе для просмотра файлов jpeg. Таким образом, пользователь видит то, что ожидал увидеть, не подозревая, что стал жертвой злоумышленника.

Между тем, скопировав себя в папку на жестком диске компьютера жертвы под именем svc.exe, "червь" устанавливается в системе в качестве сервиса Durov VKontakte Service и ищет пароль к доступу к "ВКонтакте.Ру". Если пароль находится, то "червь" получает доступ ко всем контактам своей жертвы в данной сети и рассылает по этим контактам все ту же ссылку.

"Червь" несет в себе опасную деструктивную функцию. 25 числа каждого месяца в 10 часов утра на экране компьютера будет выводиться следующее сообщение (орфография сохранена):

Павел Дуров Работая с "ВКонтакте.РУ" Вы ни разу не повышали свой рейтинг и поэтому мы не получили от Вас прибыли. За это Ваш компьютер будет уничтожен! Если обратитесь в милицию, то сильно пожалеете об этом!

Одновременно с этим начнется удаление с диска C всех файлов, говорится в сообщении.

"Если пользователь будет достаточно долго вчитываться в данный текст и предастся размышлениям относительно его содержания, он рискует потерять не только все системные файлы, но и свои файлы данных - документы, фотографии, электронные письма и многое другое", - предостерегают эксперты "Доктор Веб".

"Поэтому самое лучшее действие при появлении такого сообщения - немедленное выключение питания компьютера, что позволит, по крайней мере, сохранить если не все данные, то хотя бы их часть", - советуют они.

В сообщении также отмечается, что специалисты компании "Доктор Веб" предупредили об опасности сайт "ВКонтакте.Ру", в результате чего распространение червя практически прекратилось. Тем не менее, специалисты компании рекомендуют пользователей сайта, которые посмотрели картинку на названном выше ресурсе, проверить свой компьютер на вирусы.

© http://www.rian.ru/

[Alex_Goodwin 81]

Забавно.. мне в личку вконтакте пришла такая ссылка, но она уже мертвая

[dot_sent 140]

Забавно.. мне в личку вконтакте пришла такая ссылка, но она уже мертвая

Мне тоже пришла. Судя по всему, ссылка живая только на один уникальный заход с айпишника.

[A. 876]

Социальные сети, такие как facebook, MySpace, Orkut и т.д., являются одними из наиболее популярных сетевых ресурсов современного Интернет. Фактически, именно они олицетворяют собой то, что называется Web 2.0.

Авторы вредоносных программ уже обратили свое внимание на социальные сети и некоторые из них становились объектами атак, в том числе нацеленных на получение персональных пользовательских данных.

В России среди социальных сетей наибольшей популярностью пользуются проекты Vkontakte, Odnoklassniki и LiveJournal.

Вчера и сегодня мы обнаружили распространение сетевого червя Rovud, который распространяется среди пользователей системы VKontakte.

Первый вариант червя был обнаружен рано утром 16 мая. Принцип его действия достаточно прост, но вместе с тем оригинален:

Тело червя размещено на одном из сайтов (возможно, взломанном) под именем deti.jpg. Для первого варианта червя ссылка имела вид:

hxxp://Roland.misecure.com/deti.jpg

На самом деле это не файл изображения, а исполняемый файл.

Будучи запущенным на компьютере – червь ищет cookies пользователя ВКонтакте, после чего использует их для соединения с сайтом и начинает рассылать вредоносную ссылку всем «контактам» зараженного пользователя.

Если кто-нибудь из них проследует по ссылке, загрузит и запустит файл – цикл заражения повторится и теперь уже и «контакты» новой жертвы так же получат эту ссылку.

Работа червя сопровождается визуальными эффектами. Так, при запуске, он показывает на экране картинку:

Кроме того, червь обладает деструктивной функцией. 25 числа он выводит на экран следующий текст:

После чего начинает удалять файлы на компьютере жертвы.

Несмотря на то, что первый вариант червя достаточно быстро был обнаружен и другими антивирусными компаниями, а служба поддержки «ВКонтакте» была проинформирована об инциденте – остановить эпидемию за один день не удалось.

Неизвестные авторы червя изменили формат ссылки на зараженный сайт, которая посылается контактам жертвы, и таким образом смогли инициировать новую волну эпидемии. Очевидно, что администрация ВКонтакте просто программно запретила сообщения с ссылкой на файл deti.jpg. Авторы червя очень элегантно обошли это «ограничение».

Вариант Rovud.c рассылал ссылку:

hxxp://vkontakte.ru/away.php?to=%68%74%74%70%3a%2f%2f%72%6f%6c%61%6e%64%2e%6d%

69%09%73%65%09%63%75%72%65%2e%63%6f%6d%2f%64%65%74%69%2e%6a%70%67

В результате нажатия на нее – пользователь перенаправлялся все на тот же самый сайт (hxxp://roland.misecure.com/deti.scr

Новый вариант — Rovud.c был обнаружен утром 17 мая и в настоящее время количество обращений от пользователей, обнаруживших его «вредоносные» ссылки в своих учетных данных ВКонтакте – значительно превышает число запросов, связанных с первой версией червя!

Что еще более интересно – у этого червя существует предыстория. Дело в том, что за день до его появления, по Рунету прошлая массовая волна фишинговой атаки. Ее целью являлась «накрутка» рейтинга некоего пользователя:

Вконтакте.ру начинает розыгрыш призов, а также гарантированный бонус в размере +300% к Вашему текущему рейтингу.

Для получения бонуса и участия в розыгрыше призов — отправьте бесплатное СМС с текстом: id10682124 на номер 4449

С уважением,

Администрация Вконтакте.ру

Разумеется, она не бесплатная – стоимость смс составляет $0.30 без НДС.

В тот же день личная страничка данного пользователя была удалена администрацией ВКонтакте.

А на следующий день появился червь Rovud – обыгрывающий тему с повышением рейтинга и «адресованный» якобы от Павла Дурова, создателя проекта ВКонтакте.

Что это – просто месть «обиженных» хакеров или же некая продуманная атака против ВКонтакте, призванная подорвать его репутацию и снизить число пользователей – мы не знаем.

На момент написания этого поста – файл червя уже удален с сайта, с которого происходило его распространение. Однако, это не исключает того, что в ближайшее время в Рунете появится очередной вариант Rovud.

http://www.viruslist.com/ru/weblog

[rayoflight 0]

На картинке в первом посте Масштабные атаки компьютерных вирусов не хватает почему-то Blaster Worm (aka Lovsan or Lovesan).Знатный был вирус в своё время.

[radioelectron 80]

Павел Дуров опубликовал запись в своем блоге:

[A. 876]

"Из всех крупных русскоязычных ресурсов только Вконтакте предупреждает Вас о потенциальной угрозе при переходе по внешней ссылке на сторонний сайт".

угу. остальные "крупные русскоязычные ресурсы" (ну понятно что он имеет в виду врагов-"одноклассников") - насколько я знаю, вообще не поддерживают гиперссылок в подобных случаях. Соответственно никто никуда не перейдет и никого ни о чем предупреждать не надо.

[BeAsT 0]

и другими антивирусными компаниями

улыбнуло)))

Доктор помоему первей детектить начал...

По поводу одноклассников -- имхо, жалкое подобие социальной сети... по сравннию с Контактом! =)

[A. 876]

улыбнуло)))

Доктор помоему первей детектить начал...

Я за свои слова отвечаю.

http://www.kaspersky.ru/viruswatchlite?sea...mp;x=20&y=3

http://updates.drweb.com/

AntiDurov

drwtoday.vdb (2008-05-16 16:42:39, MD5: 29000094a0af6ceb0292fe76e4214a3b)

first matched record: 2008-05-16 16:42:39

[AlexxSun 150]

имхо, жалкое подобие социальной сети...

Явный оффтоп - достоинства и недостатки сайта "Одноклассники" обсуждаем в другой теме.

вообще не поддерживают гиперссылок в подобных случаях.

Абсолютно верно - на "Одноклассниках" спамерам приходится изощряться в имитации ссылки в своём сообщении, красить её в синий цвет, но правда толку от этого не очень много, ссылка от этого не становится кликабельнее

[Umnik 997]

http://www.securitylab.ru/news/353156.php?pagen=2#68025

З.З.З.Ы. Посетила мну мысль одна - ежели я сижу за проксёй, защищенной супер-пупер дрвебом, с обновлениями баз раз в час по шедулеру, кидаю этот файлик между серваками на самбе, защищенными самым обалденным в мире антивирусом (дрвеб), то что-то здесь не так ...

Сначала мы закричим о том, что есть суперпупермегаопасный вирус, но обновления сигнатур выложим через недельку? /me тихо фигеет от этого

Отредактировал Май 17, 2008 Umnik

[BeAsT 0]

Я за свои слова отвечаю.

http://www.kaspersky.ru/viruswatchlite?sea...mp;x=20&y=3

http://updates.drweb.com/

AntiDurov

drwtoday.vdb (2008-05-16 16:42:39, MD5: 29000094a0af6ceb0292fe76e4214a3b)

first matched record: 2008-05-16 16:42:39

гы забавно! подстава какая то были жалобы от юзеров что Каспер не детектит... не стоят апдейты каждые пол часа? ыыы)) неверю!

Кроме того, как видно из ссыок, вторая версия, у доктора уже было в базах в 16:42 минус часа 2-3 назад наверно был обнаружен...

У Касперских апдейты пришли в 23:12. Это всё равно что Юзеры получили противоядие на след день =), а следовательно были подвержены риску ;-) вдруг удаление было бы не 25-ого, а 17-ого...

Кстати, имхо, очень показательно сработали ориджины -- детектили и 16-ого новую и с утра новую версию этого червя... не сигнатурно. круто! =)

[A. 876]

Ну и кого Вы там отвечаете?

Как видно из ссыок у доктора уже было в базах в 16:42 минус часа 2-3 назад наверно был обнаружен...

У Касперских апдейты пришли в 23:12. Это всё равно что Юзеры получили противоядие на след день =) а следовательно были подвержены риску ;-) вдруг удалениебыло бы не 25-ого а 17-ого...

Со зрением проблемы ?

[BeAsT 0]

Кроме того забавная ситуация с первым семплом.... ахаха который ровуд.а

интересно почему др веб детектит семпл1 как Win32.HLLW.AntiDurov, а касперы как ровуд.б и Win32.HLLW.AntiDurov.2, как ровуд.цэ. И в инете что то нет ссылок на версию а? куда делся а?

гы гы гы)))

з.ы. это конечно меряние пи**ками, но всё же речь идёт о возможно серьезной эпидемии... ;-) крмое того не хорошо, имхо, обмановать усеров. Честно надо играть.

http://www.google.ru/search?aq=f&compl...q=Win32.Rovud.a

http://www.google.ru/search?aq=f&compl...q=Win32.Rovud.b

http://www.google.ru/search?aq=f&compl...q=Win32.Rovud.c

[A. 876]

Кроме того забавная ситуация с первым семплом.... ахаха который ровуд.а

интересно почему др веб детектит семпл1 как Win32.HLLW.AntiDurov, а касперы как ровуд.б и Win32.HLLW.AntiDurov.2, как ровуд.цэ. И в инете что то нет ссылок на версию а? куда делся а?

гы гы гы)))

похоже у вас не только со зрением, но еще с нейроклетками проблемы?

давайте уж сразу скажите, что никакого варианта rovud.a в природе не существует, а его детектирование было lдобавлено в 6 утра 16 мая просто так - аналитикам делать было нечего, а потом чтобы замести следы им пришлось писать варианты Б и С.

Чего мелочиться ?

А ну еще и про русток.цэ можете вспомнить, давайте уж

P.S. Для тугодумающих - объясняю еще раз: наша новость освещает ситуацию с вариантом .C - который бахнул гораздо сильней, чем а\б, о которых писал DrWeb. Убедиться в этом можно сравнив ссылки, которые разошлись по пользователям вконтакте. Поспрашивайте знакомых, какую именно они получали и все поймете.

[BeAsT 0]

Ой да ладно... Я молчу! Вам виднее =) чего там кто добавил.

Пусть пользователи сами сопоставляют факты.

Но я думаю, как вы написали -- так оно и есть =)

"вариантом .C" детектился ещё до его существования Доктор Вэбом))))) origin'ами

[A. 876]

Ой да ладно... Я молчу! Вам виднее =) чего там кто добавил.

Пусть пользователи сами сопоставляют факты.

Но я думаю, как вы написали -- так оно и есть =)

Пользователи (и дрвеб и касперского) защищены и проблема решена. Чего вам вообще неймется - не пойму. Вы Трендом пользуетесь что ли ?

[dot_sent 140]

Павел Дуров опубликовал запись в своем блоге:

За спасибо, что сказал про отказ от ослика. Может, хоть пара процентов прочитавших пост задумаются

[BeAsT 0]

Ага, я пользуюсь вэб вошером ;-)

А., Ну ради интереса кинь семпл ровуд.а на вирустотал... и скрин тут запость, заодно и глянем...

з.ы. Извиняюсь за флуд.

[Иван 290]

я не знаю кто там раньше какую из версий задетектил, но отпиарился на этой теме Доктор - все новостные ссылки на него

[A. 876]

я не знаю кто там раньше какую из версий задетектил, но отпиарился на этой теме Доктор - все новостные ссылки на него

кто о чем, а вшивый о бане

[Иван 290]

кто о чем, а вшивый о бане

http://www.virustotal.com/ru/analisis/c078...fdfda6078f68c04

http://www.virustotal.com/ru/analisis/77c7...91c62e9e3051cdb

главное чтоб к 25му остальные подтянулись

[BeAsT 0]

Т.е., много уважаемый А., вы не можете привести детект семпла ровуд.а?

[A. 876]

Т.е., много уважаемый А., вы не можете привести детект семпла ровуд.а?

знаете, ночью в субботу и утром-днем воскресенья у меня есть более приятные занятия, чем ехать на работу и брать сампл для удовлетворения вашего любопытства.

[Александр Шабанов 120]

"Вчера примерно с 14 часов все пользователи, которые получили картинку с вирусом на сайте Vkontakte.ru были автоматически переправлены на соответствующую новость на SecurityLab.

В результате такой оригинальной атаки нагрузка на наш сервер возросла почти в 10 раз, и за пол дня пришло более 100.000 уникальных пользователей, что привело к значительным трудностям при доступе к сайту в первые часы атаки, однако специальные меры позволили быстро восстановить доступ к сайту"

Источник SecurityLab