Блокеры-вымогатели «охотятся» за желающими пошпионить в сети

Эксперты «Лаборатории Касперского» предупреждают о появлении нового троянца-вымогателя Trojan-Ransom.Win32.Vkont.a. СМС-блокер использует нестандартную схему распространения, маскируясь под бесплатную программу, которую скачивают желающие пошпионить в Интернете за друзьями и знакомыми. Попавшиеся на эту приманку расплачиваются за свое любопытство деньгами, не получая взамен ожидаемого результата.



Распространяется зловред через мошеннический сайт, на котором предлагается скачать ПО для взлома учетных записей в социальной сети «ВКонтакте». Очевидно, что посетителями этой страницы движут отнюдь не благородные мотивы, сообщает сайт «Лаборатории Касперского». Однако после клика на кнопку загрузки под видом «программы-взломщика» начинается скачивание троянца-вымогателя, при чем о подмене ничего не сообщается.


Фрагмент сайта, с которого загружается программа-блокер


Попав на компьютер, зловред выводит на Рабочий стол окно с предложением отправить СМС-сообщение на короткий номер, чтобы получить программу для доступа к личным данным пользователей сети «ВКонтакте». Одновременно троянец блокирует работу системы до тех пор, пока вымогатели не получат выкуп в виде СМС-ки.

СМС-блокер открывает окно с предложением приобрести программу, с помощью которой можно отслеживать действия пользователей социальной сети «ВКонтакте».

Однако, отправив СМС-сообщение, пользователь оказывается дважды «наказан» злоумышленниками. Троянец скачает архив VK-Hack.zip, в котором находятся программа для подбора паролей к аккаунтам в популярных почтовых сервисах, а также ПО класса ShareWare, за полноценное использование которого необходимо заплатить дополнительно. Таким образом, жертва уловки мошенников не только оплачивает отправку дорогостоящей СМС-ки, но и получает совсем не бесплатные программы сомнительного функционала.

Виртуальное пространство сегодня становится все более опасным. К сожалению, долю ответственности за это несут и пользователи, которые выбирают нечестные правила игры, предложенные злоумышленниками. При обнаружении же СМС-блокера на компьютере, прежде всего, рекомендуется не идти на поводу у мошенников и не отправлять сообщения. Удалить назойливый баннер с Рабочего стола можно с помощью бесплатного сервиса на сайте «Лаборатории Касперского».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вирусописатели из FIN7 выдают своих зловредов за инструменты Check Point

Исследователи из BI.ZONE обнаружили новую версию вредоносного тулкита Lizar, который участники преступной группы FIN7 использовали в недавних атаках на территории США. Это орудие разведки и закрепления в Windows-сети злоумышленники пытаются замаскировать под легитимный инструмент для пентеста, используя имя Check Point или Forcepoint.

Криминальная группировка FIN7, также известная как Carbanak, объявилась в интернете больше пяти лет назад. По данным ФБР, эта ОПГ насчитывает более 70 участников, занимающихся целевыми взломами, разработкой вредоносных программ и рассылкой поддельных писем с вредоносными вложениями. От ее атак пострадали сотни организаций по всему миру, в том числе представители сферы финансов, ритейла и индустрии гостеприимства.

В своих атаках FIN7 зачастую использует набор инструментов Carbanak Backdoor/RAT, но в прошлом году в ее арсенале появился еще один похожий тулкит — Tirion, впоследствии переименованный в Lizar. Чтобы вызывать меньше подозрений, и тот, и другой злоумышленники пытаются выдать за инструментарий известной ИБ-компании.

 

В BI.ZONE проанализировали образец Lizar (версии 2.0.4, скомпилирован в конце января) и пришли к выводу, что по структуре он схож с Carbanak Backdoor и активно развивается. Новый набор вредоносных инструментов состоит Windows-клиента, серверного приложения (оба написаны на .NET), загрузчика плагинов и ряда плагинов, устанавливаемых на стороне клиента и сервера.

Взаимодействие этих компонентов исследователи схематично представили следующим образом:

 

Загрузчик плагинов и сами такие модули работают на зараженной машине (тело плагина передается с сервера вместе с командой) как составные части бота. Анализ показал, что Lizar-бот способен выполнить полтора десятка команд, в том числе:

  • предоставить информацию о зараженной системе;
  • сделать скриншот;
  • составить список запущенных процессов;
  • запустить Mimikatz;
  • запустить плагин, собирающий пароли из браузеров и в ОС;
  • запустить плагин для сбора информации о сети и Active Directory;
  • запустить Carbanak Backdoor.

Модульная архитектура Lizar позволяет злоумышленникам с легкостью добавлять плагины, а также облегчает доработку и тестирование отдельных компонентов. На настоящий момент эксперты обнаружили три вида Lizar-ботов: DLL, EXE и скриптовый вариант, исполняющий DLL в адресном пространстве процесса PowerShell.

Стоит отметить, что группировка FIN7 начала практиковать наём «белых хакеров» под видом компаний по кибербезопасности. Заместитель генерального директора — технический директор компании «Газинформсервис» Николай Нашивочников рассказал, может ли эта схема коснуться бизнес-структур в России:

«К сожалению, проблема становится актуальной и для нашей страны, так как с прошлого года мошенники начали активно нанимать российских пентестеров. Вероятно, когда американский рынок будет исчерпан, киберпреступники сосредоточат свои усилия на российских компаниях.

Не секрет, что многие IT-специалисты предпочитают заниматься "белым хакерством", так как сфера услуг информационной безопасности активно развивается, поэтому логично, что у кибермошенников образовался кадровый дефицит. Отсюда и новая схема с привлечением "сторонней помощи".

Американская практика показывает, что схема выстроена грамотно и нанятые сотрудники даже не подозревают, что работают на злоумышленников. Поэтому призываю всех наших IT-специалистов и особенно пентестеров быть очень внимательными при трудоустройстве, чтобы не стать участником киберпреступления.

Представителям бизнеса, решившим воспользоваться услугами "белых хакеров", тоже нужно быть начеку — лучше не экономить на проведении нормального пентеста, делая выбор в пользу проверенных компаний с многолетней безупречной репутацией».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru