Киберпреступники расширяют арсенал используемых технологий

Киберпреступники расширяют арсенал используемых технологий

Вредоносная программа, детектируемая продуктами «Лаборатории Касперского» как TDSS (авторское название TDL), является наиболее совершенным на сегодняшний день инструментом киберкриминала. Мощная руткит-составляющая и другие возможности TDL позволили его авторам создать ботнет, состоящий из миллионов персональных компьютеров.



Анализ новой версии вредоносной программы TDL-4, проведенный экспертами «Лаборатории Касперского» Сергеем Головановым и Игорем Суменковым, позволил выявить новые возможности вредоносного ПО и оценить количество зараженных пользовательских ПК. Изменения в TDL-4 направлены на построение ботнета, максимально защищенного от посягательств конкурентов и антивирусных компаний и теоретически обеспечивают доступ к зараженным машинам даже при закрытии всех командных центров, сообщает Информационная служба Лаборатории Касперского.

В частности, в TDL-4 появилась возможность удаления около 20 наиболее популярных конкурирующих продуктов с машины пользователя. Среди них — такие распространенные вредоносные программы, как Gbot, ZeuS, Optima и другие. При этом сам TDSS устанавливает на ПК около 30 дополнительных утилит, включая фальшивые антивирусы, системы накрутки рекламного трафика и рассылки спама. Одним из значительных нововведений в TDL-4 стала возможность заражения 64-битных операционных систем. Для управления ботнетом кроме командных серверов впервые используется публичная файлообменная сеть Kad. Еще одной новой функцией TDL-4 стала возможность открытия прокси-сервера. Злоумышленники предлагают сервис анонимного доступа к сети через зараженные компьютеры, запрашивая за такую услугу около 100 долларов в месяц.

Как и предыдущие версии, TDL-4 распространяется в основном с помощью так называемых «партнерских программ». Авторы вредоносного ПО не занимаются расширением сети зараженных компьютеров самостоятельно, вместо этого оплачивая данную «услугу» третьим лицам. В зависимости от ряда условий партнерам выплачивается от 20 до 200 долларов США за 1000 установок вредоносного ПО.

Несмотря на наличие мер защиты управляющих серверов, экспертам «Лаборатории Касперского» удалось получить общую статистику по количеству зараженных компьютеров. Анализ полученных данных показал, что только за первые три месяца 2011 года с помощью TDL-4 было заражено более 4,5 миллионов компьютеров по всему миру, большая их часть (28%) расположена в США. Учитывая упомянутые ранее «расценки» на распространение вредоносного ПО, можно оценить примерный уровень затрат киберпреступников на создание ботнета из компьютеров американских пользователей: он составляет около 250 тысяч долларов.

«Мы не сомневаемся, что развитие TDSS будет продолжено, — утверждают авторы исследования. — Вредоносная программа и ботнет, объединяющий зараженные компьютеры, доставят еще много неприятностей и пользователям, и специалистам по IT-безопасности. Активная доработка кода TDL-4, руткит для 64-битных систем, старт до запуска операционной системы, использование эксплойтов из арсенала Stuxnet, использование технологий p2p, собственный «антивирус» и многое-многое другое ставят вредоносную программу TDSS в разряд самых технологически развитых и наиболее сложных для анализа».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Повышение до админа в Windows 11 теперь потребует авторизации через Hello

Компания Microsoft усилила защиту прав администратора Windows от злоупотреблений. Для выполнения задач на таком уровне теперь создаются одноразовые токены, автоповышение привилегий программами заблокировано.

О планах обновить этот механизм безопасности Windows 11 с целью предотвращения обхода UAC разработчик объявил в ноябре прошлого года.

Пользователям ОС по умолчанию назначаются минимальные права доступа. Когда какая-то операция требует большего, система выводит запрос, предлагая авторизоваться через Windows Hello, и по получении подтверждения генерирует токен, который уничтожается сразу после выполнения задачи.

Процедура повторяется каждый раз, когда нужен админ-доступ. Временные токены генерируются из-под скрытой, не связанной с локальным профилем юзера учетной записи — SMAA (System Managed Administrator Account).

Все возможности для автоматического (без уведомления пользователя) повышения прав процессов и приложений закрыты. Принятые меры призваны обеспечить дополнительную защиту от атак через повышение привилегий и усилить пользовательский контроль над взаимодействием софта с персональными данными.

Разработчикам Windows-приложений рекомендуется заранее предусмотреть сопряжение с обновленным фреймворком безопасности. При отсутствии таких планов придется воздержаться от дефолтного доступа продуктов к микрофону, камере, данным геолокации во избежание отказа важных функций и проблем с использованием.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru