Alureon теперь снабжен функцией шифрования

Исследователи в области безопасности корпорации Microsoft обнаружили новую версию троянской программы Alureon, основной целью которой является получение конфиденциальной информации пользователя. Примечательным является то, что для обхода антивирусной защиты вредонос применяет изощренные методы шифрования.

Alureon - это достаточно изученное семейство троянских программ. Однако новая версия имеет несколько особенностей. Специалисты обнаружили, что для обхода антивирусных сканеров зловред использует методы шифрования, которые были свойственны другому опасному зловреду -  Win32/Crypto. Как известно последний при инсталляции в систему создает свой ключ шифрования. Используя этот ключ и перехват функций работы с библиотеками вирус шифрует/расшифровывает DLL-библиотеки "на-лету".

Однако в сравнении с Win32/Crypto новая версия Alureon использует более изощренные методы. Функция дешифрования ведет учет всех ранее созданных ключей, благодаря чему ни один из них не используется повторно, а, следовательно, время нахождения его на компьютере жертвы увеличивается. Для восстановления ключа он применяет 255 итераций, причем последнее значение находится в заголовке PE файла. При этом, как отметили эксперты, зашифрованный буфер, вместо того чтобы занимать отдельную единую область памяти, распределен по другим данным, ресурсам, коду, что усложняет процесс статического восстановления ключа.

Еще одной особенностью трояна является то, что для шифрования используется собственное инверсное значение, то есть один и тот же ключ применяется как для шифрования, так и дешифрования.

По мнению экспертов, скорей всего, эту технику вскоре унаследуют и другие семейства троянских программ.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ФБР и МВБ США раскрыли Facebook-аккаунты жертв насилия над детьми

Сотрудники ФБР и Министерства внутренней безопасности (МВБ) США случайно раскрыли личности жертв жестокого обращения с детьми. Forbes выяснил, что следователи не смогли соблюсти конфиденциальность, допустив публикацию ID-номеров жертв в Facebook.

Утечка информации произошла через судебные документы, где упоминались инициалы жертв насилия над детьми, а также идентификационные номера учетных записей в социальной сети Facebook.

Напомним, что ID-номера представляют собой уникальный набор чисел, связанный с конкретным аккаунтом в Facebook.

Как выяснили в Forbes, при желании можно было легко найти профили жертв, узнать их настоящие имена и получить доступ к их персональным данным.

Сотрудники Forbes провели эксперимент, скопировав числа, указанные в судебных документах, и вставив их после «facebook.com/».

Все это не укладывается в схему, согласно которой структуры США, занимающиеся расследованием таких дел, должны любыми способами охранять конфиденциальность жертв жесткого обращения с детьми.

В противном случае разглашение подобной информации может привести к травле жертв.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru