«Неудаляемый» вирус для Windows укрепляет свои позиции

«Неудаляемый» вирус для Windows укрепляет свои позиции

Эксперты из нескольких антивирусных компаний предупредили о возросшей опасности, связанной с новой разновидностью вируса TDL4. Как считают специалисты, в том числе из компании ESET, создатели вируса с нуля переписали такие ключевые его компоненты, как драйвер ядра и модуль, исполняемый от имени пользователя.

Столь значимые изменения в коде, как считают антивирусные компании, могут означать, что создатели вируса начали оказывать услуги сторонним кибер-мошенникам по загрузке перехватчиков клавиатуры, рекламных программ и других вредоносных компонентов на машины, зараженные своим «руткитом».

Вирус TDL4, известный также под названиями TDSS и Alureon, с момента своего появления стал серьезной головной болью для производителей антивирусов. По современной классификации он относится к классу «руткитов» - захватывает полный контроль над компьютером, открывая дорогу для других видов вредоносного ПО. Последние разновидности этого вируса стали еще более трудной мишенью для антивирусов: так, теперь TDL4 создает скрытый раздел в конце жесткого диска на зараженной машине и делает этот раздел активным. Таким образом, помещенный туда код будет исполнен еще до запуска основной операционной системы Windows и не будет обнаружен стандартным антивирусом, передает soft.mail.ru.

Еще один интересный алгоритм защищает вирус TDL4 от удаления. Скрытый активный раздел имеет особую файловую систему, которая непрерывно проверяет целостность компонентов вируса. Если какие-то файлы будут повреждены, автоматически выполняется их удаление. Кроме того, как и в прежних версиях, сохранено шифрование всех данных, которыми вирус обменивается с серверами управления.

Стоит заметить, что TDL4 в свое время стал первым «руткитом», который смог заражать 64-битные версии Windows, обходя новейший механизм, который блокировал исполнение любого кода на уровне ядра, если этот код не имел подписи. Такая защита впервые появилась в 64-битных версиях Windows, чтобы разрешать работу только для драйверов с подписью, но вирус TDL4 успешно обошел эту защиту. Несмотря на активную работу антивирусных компаний, только за весну 2011 года зафиксировано более 4,5 млн. новых заражений на компьютерах конечных пользователей.

Кроме передовых алгоритмов самоконтроля, ухода от слежки и шифрования сообщений, вирус TDL4 обладает способностью налаживать связь через одноуровневую сеть Kad, подобную децентрализованным файлообменным сетям, а также умеет заражать эталонную загрузочную запись (MBR-сектор) на жестких дисках зараженных машин. Можно лишь констатировать, что авторы одного из самых сложных и изощренных вирусов последних лет ничуть не снижают темпы «инноваций».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Фанатов Minecraft атакует новый Python-троян удаленного доступа

Эксперты Netskope обнаружили неизвестного ранее RAT-зловреда, раздаваемого под видом Nursultan Client — легитимного приложения для Minecraft, пользующегося популярностью в геймерских сообществах Восточной Европы и России.

Анализ экзешника весом 68,5 Мбайт, созданного с помощью PyInstaller, показал, что это многофункциональный троян, способный воровать данные из Discord и браузеров пользователей Windows, а также облегчать слежку на других платформах (macOS, Linux).

Для получения команд и вывода украденных данных новобранец использует Telegram. Токен доступа к боту и ID авторизованного юзера жестко прописаны в коде Python-зловреда.

При запуске под Windows зловред отображает в консоли фейковый процесс установки легитимного Nursultan Client, пытаясь скрыть свое присутствие.

 

Вредонос также прописывается на автозапуск, создавая новый ключ в системном реестре. Как оказалось, при реализации механизма персистентности автор нового RAT допустил ошибку: команду на запуск исполняемого файла соответствующий код строит некорректно:

 

Новоявленный троян умеет извлекать токены аутентификации из Discord-клиентов, а также сохраненные в браузерах данные (Google Chrome, Microsoft Edge, Firefox, Opera, Brave).

По команде info он собирает исчерпывающую информацию о зараженной системе: имя компьютера, имя пользователя, версия ОС, используемый CPU, емкость памяти и заполнение дисков, локальный и внешний IP-адреса. Закончив профилирование, зловред отправляет оператору русскоязычный отчет.

Возможности слежки с помощью нового RAT включают получение скриншотов и фото с подключенной к компьютеру веб-камеры. Вредонос также наделен функциями adware: умеет отображать полученные с C2 тексты / картинки в виде всплывающих сообщений и автоматически открывать встроенные в них ссылки.

Отсутствие средств противодействия анализу и кастомной обфускации кода, а также вшитая строка ALLOWED_USERS навели исследователей на мысль, что новый зловред удаленного доступа предоставляется в пользование по модели MaaS — Malware-as-a-Service, как услуга.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru