Трояны атакуют пользователей Counter-Strike

Трояны атакуют пользователей Counter-Strike

Компания «Доктор Веб», сообщила об обнаружении новой схемы заражения компьютеров пользователей вредоносным ПО. На этот раз целью злоумышленников стали любители популярной игры Counter-Strike 1.6: в момент подключения пользователей к одному из игровых серверов на их ПК начинают загружаться файлы со скрытыми в них троянскими программами.



Обычно при соединении с сервером Counter-Strike программа-клиент скачивает с удаленного узла компоненты, отсутствующие на клиентской машине, но используемые в игре. В данном же случае на экране компьютера пользователя открывается стандартное окно браузера, предлагающее скачать два исполняемых файла: svhost.exe и bot2.exe, а также файл с именем admin.cmd (в начале этого года данный файл раздавался под именем Counter-Strike.cmd). Такое поведение нестандартно для программного обеспечения игры Counter-Strike, передает CNews

В ходе проведенного аналитиками «Доктор Веб» расследования удалось установить следующее. Изначально группой злоумышленников был создан игровой сервер Counter-Strike, распространявший троянскую программу Win32.HLLW.HLProxy (некоторое время назад этот троян вообще распространялся среди поклонников Counter-Strike в качестве «полезного» приложения, поэтому многие самостоятельно скачали и установили его на свой ПК).

По информации «Доктор Веб», технология «раздачи» трояна была весьма интересной: при любом подключении к игровому серверу игроку демонстрируется специальное окно приветствия MOTD, в котором может присутствовать реклама сервера или какие-либо установленные его администрацией правила. Содержимое этого окна представляет собой HTML-файл. Созданный злоумышленниками файл MOTD содержит скрытый компонент IFRAME, с помощью которого выполнялся редирект на один из принадлежащих им серверов. С него, в свою очередь, загружался и устанавливался на компьютер жертвы файл admin.cmd, содержащий трояна Win32.HLLW.HLProxy.

Основное назначение трояна заключается в том, что он запускает на компьютере игрока прокси-сервер, эмулирующий на одной физической машине несколько игровых серверов Counter-Strike и передающий соответствующую информацию на серверы VALVE. При обращении к сэмулированному трояном игровому серверу программа-клиент перебрасывалась на настоящий игровой сервер злоумышленников, откуда игрок тут же получал трояна Win32.HLLW.HLProxy. Таким образом, количество зараженных компьютеров росло в геометрической прогрессии.

Помимо этого, троян обладает функционалом, позволяющим организовывать DDoS-атаки на игровые серверы и серверы VALVE, благодаря чему значительная их часть в разное время могла оказаться недоступна. Как предполагают в компании, одной из целей злоумышленников являлся сбор денег с владельцев игровых серверов за подключение к ним новых игроков, а также DDoS-атаки на «неугодные» игровые серверы. В настоящее время, помимо собственно трояна, подключавшимся к серверу игрокам раздаются дополнительные «подарки». 

Так, проведенный специалистами анализ выявленных угроз показал, что в файле svhost.exe скрывается троян-кликер Trojan.Click1.55929, накручивающий показатели посещаемости сайта w-12.ru и связанный с партнерской программой tak.ru. Попав на инфицированный компьютер, троян создает свою копию с именем svh0st.exe в папке C:\Program Files\Common Files, запускается на исполнение и начинает использовать заложенный в него разработчиками функционал. В файле bot2.exe «прячется» уже хорошо известный Trojan.Mayachok.1.

В настоящее время сигнатуры этих угроз добавлены в вирусные базы Dr.Web. Любителям игры Counter-Strike рекомендуется проявлять внимательность: не следует соглашаться с предложением операционной системы о загрузке и установке на компьютер каких-либо исполняемых файлов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

49% россиян уверены, что умеют распознавать фишинг и скам

«Лаборатория Касперского» вместе с Почтой Mail и Hi-Tech Mail выяснили, насколько россияне чувствуют себя уверенно, когда дело доходит до фишинга и скама. Почти половина участников опроса (49 %) заявили, что умеют отличать мошеннические сообщения, хотя многие признались: ошибки всё же случаются.

Четверть респондентов (24 %) сказали, что способны заметить обман только в самых очевидных случаях, а ещё 23 % честно признались, что разбираются слабо, но стараются быть осторожными.

Эксперты напоминают: схемы атак становятся всё сложнее, и иногда без специальных технологий выявить их невозможно.

Как пользователи защищаются

Каждый четвёртый (27 %) старается не открывать вложения и не переходить по ссылкам из сомнительных писем. 15 % критически оценивают каждое входящее сообщение, а 10 % проверяют адрес отправителя. Ещё один из десяти установил защитное ПО на компьютер или смартфон, 9 % настроили двухфакторную аутентификацию.

Некоторые идут дальше: проверяют ссылки перед переходом, наводя на них курсор, чтобы увидеть реальный адрес, или смотрят на домен в строке браузера. Часть опрошенных даже связывается с отправителем по другим каналам, чтобы убедиться, что письмо действительно от него.

Почему одних навыков мало

Эксперт «Лаборатории Касперского» Роман Деденок напоминает: базовые правила кибергигиены важны, но сегодня этого может быть недостаточно. Злоумышленники всё чаще шлют персонализированные письма от имени «отдела кадров», снабжая их поддельными вложениями. Такие атаки сложно заметить без технической защиты.

Со своей стороны почтовые сервисы используют антиспам-фильтры, машинное обучение и предупреждения о подозрительных письмах. Но, как отмечает Дмитрий Моряков из Почты Mail, решающим фактором всё равно остаётся внимательность самих пользователей: именно человек в итоге либо отражает атаку, либо становится её жертвой.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru