Trojan.Rodricter распространяется с помощью критической уязвимости Java

Trojan.Rodricter распространяется с помощью критической уязвимости Java

26 августа компания FireEye сообщила об обнаружении критической уязвимости в Java Runtime Environment версий 1.7x, получившей обозначение CVE-2012-4681. Компания Oracle выпустила соответствующее обновление безопасности только 30 августа, и, следовательно, уязвимость оставалась незакрытой в течение как минимум четырех суток, чем не замедлили воспользоваться злоумышленники. Специалисты компании «Доктор Веб» установили, что с использованием этого эксплойта распространялось несколько вредоносных программ, среди которых был обнаружен троянец Trojan.Rodricter.

С целью распространения вредоносных программ злоумышленники использовали взломанные веб-сайты, на которых, в частности, модифицировалось содержимое файла .htaccess. В момент обращения к веб-сайту, содержащему внедренный злоумышленниками вредоносный скрипт, выполняется цепочка перенаправлений, адрес конечного узла в которой зависит от установленной на компьютере пользователя операционной системы. Пользователи ОС Windows перенаправлялись на веб-страницу, содержащую вызовы различных эксплойтов. Примечательно, что адреса серверов, на которые перебрасывались пользователи, генерируются динамически и меняются каждый час.

Загружаемые в браузер пользователя веб-страницы эксплуатировали сразу две уязвимости: CVE-2012-1723 и CVE-2012-4681. Используемый злоумышленниками эксплойт зависит от версии Java Runtime: для версий 7.05 и 7.06 обход безопасности происходил с использованием уязвимости CVE-2012-4681.

 

 

 

В случае если применение уязвимости завершилось успехом, Java-апплет расшифровывает файл class, основное предназначение которого — загрузка и запуск исполняемых файлов. Таким образом злоумышленники распространяли троянскую программу Trojan.Rodricter.21.

 

 

 

Троянец Trojan.Rodricter.21 использует руткит-технологии и состоит из нескольких компонентов. Так, запустившись на инфицированном компьютере, дроппер этой вредоносной программы проверяет наличие в системе антивирусного ПО и отладчиков, после чего пытается повысить свои привилегии: для этого, в частности, могут использоваться уязвимости ОС. На компьютерах, использующих контроль учетных записей пользователей, троянец отключает UAC. Дальнейший алгоритм действий Trojan.Rodricter.21 зависит от того, какие права он имеет в зараженной системе. Троянец сохраняет на диск основной компонент и, если у него достаточно для этого привилегий, инфицирует один из стандартных драйверов Windows с целью скрытия основного модуля в зараженной системе. Таким образом, Trojan.Rodricter.21 вполне можно отнести к категории троянцев-руткитов. Помимо прочего, эта вредоносная программа умеет изменять настройки браузеров Microsoft Internet Explorer и Mozilla Firefox, например, в последнем троянец устанавливает в папку \searchplugins\ дополнительный плагин-поисковик, а также подменяет User-Agent и настройки поисковой системы по умолчанию. В результате отправляемые пользователем поисковые запросы имеют вид http://findgala.com/?&uid=%d&&q={поисковый запрос}, где %d — уникальный идентификатор троянца. Также Trojan.Rodricter.21 модифицирует содержимое файла hosts, прописывая туда адреса принадлежащих злоумышленникам веб-сайтов.

Основной модуль Trojan.Rodricter.21 сохраняется в виде исполняемого файла во временной папке, он предназначен для подмены пользовательского трафика и внедрения в него произвольного содержимого.

Ограничения для VPN почти не ударили по посещаемости российских сервисов

По данным Mediascope, аудитория сайтов и веб-платформ, которые ввели ограничения для пользователей с включённым VPN, практически не изменилась. Если снижение и фиксировалось, то в большинстве случаев оно не превышало 5%. Статистика за апрель 2026 года показывает, что сервисы и приложения, ограничившие доступ через VPN, либо не потеряли аудиторию, либо столкнулись лишь с небольшим снижением посещаемости.

По данным РБК, такие ограничения ввели Сбербанк, Яндекс, VK, Wildberries & Russ, Ozon, «Газпром-Медиа», «Авито», X5, 2ГИС, «Иви», Wink, HeadHunter, «Литрес», ЦИАН, Lamoda, «Магнит Маркет», «ВсеИнструменты.ру», «Гисметео», «Рамблер», «Лемана Про», «Туту», «Вкусвилл» и «Лента».

Наибольшее снижение аудитории отмечено у всей «большой тройки» маркетплейсов – Ozon, Wildberries & Russ и Яндекс Маркета. Самое заметное падение зафиксировано у Wildberries & Russ – на 5,4%. У Ozon количество посещений снизилось примерно на 1%.

Похожее снижение зафиксировано у Сбербанка и VK. При этом в пресс-службе VK сообщили РБК, что по сравнению с апрелем 2025 года аудитория выросла почти на 2%. У остальных ресурсов заметного снижения числа посетителей не отмечено.

В Mediascope при этом признали, что данные «могут быть подвержены влиянию различных внешних факторов и содержать незначительные статистические колебания».

Партнёр Exectica Capital Алексей Замесов в комментарии отметил, что важнее оценивать не общее снижение аудитории, а action-трафик – число пользователей, которые в итоге совершают покупки. По некоторым данным, у отдельных селлеров снижение этого показателя могло достигать 30%.

Генеральный директор TelecomDaily Денис Кусков назвал снижение посещаемости «ожидаемым». По его словам, ограничения для пользователей VPN создают ощутимые неудобства, и компенсировать их можно только за счёт других сценариев взаимодействия с сервисами.

RSS: Новости на портале Anti-Malware.ru