"Банковский" руткит обходит систему защиты Windows х64

"Банковский" руткит обходит систему защиты Windows х64

Обычно под термином «банковский» подразумеваются трояны, нацеленные на кражу данных пользователей, необходимых для проведения платежных транзакций через Интернет. Однако специалисты в области безопасности обнаружили новый образец вредоносной программы, имеющую те же задачи, но способы извлечения информации намного изощренней.  

По сути это руткит с задачей перехвата нужных данных. Он активно распространяется среди пользователей систем он-лайн банкинга в Бразилии посредством drive-by download атаки.

По словам исследователя в области безопасности "Лаборатории Касперского" Фабио Ассолини схема атаки достаточно проста. Суть ее заключается в том, что посетители популярных ресурсов перенаправляются на замаскированные под легитимные фишинговые сайты. Однако отличительной особенностью вредоноса является то, что он способен не только изменить конфигурацию процесса загрузки, но и обойти систему защиты операционных систем, имеющих архитектуру x64 и x32.

Для атаки киберпреступники используют Java апплет, который снабжен набором вредоносных кодов; каждый из них имеет определенную задачу. Попадая на компьютер жертвы, посредством неисправленных уязвимостей в среде исполнения Java (JRE) файл  "add.reg", отключает защитный механизм контроля аккаунта пользователей (UAC) и добавляет в системный реестр поддельный сертификат  "cert_override.txt" с цифровой подписью CA.

Модификация процесса загрузки происходит благодаря файлу "bcdedit.exe". Этот компонент добавляет в папку с легитимными драйверами два новых "plusdriver.sys" и "plusdriver64.sys". При повторной загрузке они активируются и модифицируют файл хоста.

В результате, ничего не подозревающий пользователь, при посещении веб-страниц он-лайн банкинга оказывается на поддельном веб-сайте. При этом даже соединение осуществляется по якобы защищенному протоколу Https, о чем свидетельствует появившееся изображение.

Глава СПЧ уточнил: VPN для дела нужен, но к иноагентам отношение прежнее

Глава СПЧ Валерий Фадеев уточнил своё отношение к VPN после резонанса вокруг его слов о пользователях, которые ищут, что говорит враг. По его словам, эту фразу вырвали из контекста.

На марафоне «Знание. Первые» Фадеев заявил, что VPN является частью большого интернета и полностью отключать такие технологии нельзя.

Через VPN-каналы работают банки, бизнес и связь с зарубежными партнёрами, поэтому резкие ограничения могут привести к экономическим проблемам.

При этом глава СПЧ разделяет использование VPN для дела и доступ к заблокированным СМИ. Своё отношение к «Медузе» и «Дождю», которые в России признаны иноагентами и нежелательными организациями, он не изменил: по словам Фадеева, это пропаганда и точка зрения врага.

Фадеев также прокомментировал реакцию СМИ на свои слова. Он заявил, что журналисты часто стараются упаковать сложную мысль в одно наглое и дерзкое предложение, которое затем расходится по Сети.

Заявление прозвучало на фоне обсуждения возможной платы за зарубежный VPN-трафик в мобильных сетях. Такая инициатива, по данным СМИ, сейчас прорабатывается Минцифры. При этом интерес к VPN растёт: в марте российские пользователи Google Play скачали VPN-приложения 9,2 млн раз, что в 14 раз больше, чем годом ранее.

RSS: Новости на портале Anti-Malware.ru