Новая версия Citadel стала незаметной для виртуальных сред

Новая версия Citadel стала незаметной для виртуальных сред

Эксперты в области безопасности компании S21sec сообщили о появлении новой версии трояна Citadel. Помимо всего прочего, троян получил улучшенный алгоритм шифрования, а также функцию обнаружения наличия работающих виртуальных сред, например, песочницы.

Согласно сообщению, наиболее интересной, среди добавленных, является функция «антиэмулятор». После запуска, троян проверяет компьютер на наличие работающих виртуальных сред, например, CWSandbox, VMware или Virtualbox. В случае если таковые процессы запущены, троян создает ложный домен и пытается установить с ним связь. Это, по мнению специалистов, сделано для того, чтобы направить исследователей по ложному пути, имитируя отключенный сервер. Однако, если результаты проверки отрицательны, вредоносная программа устанавливает связь с реальным удаленным сервером.

Вдобавок к этому, создатели снабдили свое детище улучшенным алгоритмом шифрования RC4, с помощью которого во время сеанса связи шифруется весь сетевой трафик. Вирусописатели учли уязвимость этого алгоритма и добавили к нему внутренний хэш.

По словам исследователей, во время процесса шифрования потока данных, помимо обычных операции сложения по модулю 2 (XOR - операций) в алгоритме RC4, при каждой следующей итерации к полученному значению последовательно добавляются дополнительные символы, которые также были вычеслены по XOR функции.

Иными словами, внутреннее шифрование заключается в том, что к основному значению посредством XOR -операции, добавляется дополнительная последовательность чисел, которая также прошла XOR процесс.  

Таким образом, новая версия не будет поддерживать соединение с предыдущими версиями бота, считают в S21sec. Более подробные результаты вредоносной программы исследований представлены в блоге компании.

Не взлом, а давление: мошенники всё чаще охотятся на подростков

Эксперты «Перспективного мониторинга» выяснили: мошенники всё активнее давят не на системы, а на психику. Причём бьют по самым уязвимым — детям, подросткам и пожилым людям. В мае специалисты зафиксировали рост схем, где главную роль играют паника, доверие и срочность.

Один из популярных сценариев — родственник в беде, только теперь звонят не бабушкам, а детям.

Злоумышленники представляются полицейскими, врачами или знакомыми семьи и сообщают, что родители якобы попали в ДТП или отделение полиции. Дальше всё по классике: срочно найди дома деньги, карты, ценности и передай курьеру. Ребёнок напуган, проверить информацию не успевает, мошенникам только это и нужно.

Похожая схема работает и в мессенджерах. Взламывается аккаунт подростка, после чего его друзьям и родственникам летят просьбы срочно одолжить денег. Знакомый профиль снижает бдительность, деньги уходят не другу, а в карман злоумышленникам.

Отдельная кормушка — игры. Детям предлагают скачать взломанные версии популярных тайтлов, бесплатную валюту или моды. На деле вместе с подарком на устройство может прилететь вредоносная программа, которая крадёт данные, перехватывает сообщения и коды подтверждения или позволяет управлять гаджетом.

Есть и беспроигрышные конкурсы от имени блогеров: оплатите доставку, комиссию или подтверждение выигрыша — и, конечно, получите не приз, а тишину. Летом добавляется ещё одна приманка: выгодная подработка для подростков. Ссылки для оформления ведут на фишинговые анкеты, где собирают персональные данные, включая сведения о родителях.

Особенно активно мошенники эксплуатируют экзаменационный сезон. Под видом сотрудников школ или ведомств они пугают подростков проблемами с ЕГЭ и требуют подтвердить данные или прислать СМС-коды. Параллельно работают сайты и боты с продажей ответов на ЕГЭ за 799-5000 рублей. После оплаты жертва получает пустой архив или вредоносный файл под видом PDF.

RSS: Новости на портале Anti-Malware.ru