С сайта далай-ламы злоумышленники распространяют троянцев

С сайта далай-ламы злоумышленники распространяют троянцев

Компания «Доктор Веб» информирует о распространении нескольких троянских программ с использованием взломанных злоумышленниками веб-сайтов. В частности, вредоносные программы загружаются с официального интернет-ресурса далай-ламы. Опасность грозит не только пользователям операционной системы Windows, но и Mac OS X.

Несколько дней назад пользователи проинформировали специалистов компании «Доктор Веб» о факте взлома неизвестными злоумышленниками официального сайта тибетского духовного лидера далай-ламы. Исследуя ситуацию, специалисты «Доктор Веб» выяснили, что при попытке открытия этого веб-сайта в окне браузера на компьютер пользователя загружался файл формата jar, содержащий эксплойт (CVE-2012-0507). С помощью этой уязвимости происходит автоматический запуск троянца для Mac OS X, добавленного в вирусные базы под именем BackDoor.Dockster.

Эта вредоносная программа помещается в домашнюю папку пользователя Mac OS X и запускается. При этом для ее функционирования не требуются администраторские привилегии — троянец может работать и под учетной записью обычного пользователя. BackDoor.Dockster способен фиксировать и передавать злоумышленникам нажатия клавиш на инфицированном компьютере (то есть пароли, которые вводятся на зараженном компьютере), а также выполнять различные команды, поступающие от злоумышленников, сообщает drweb.com.

Примечательно, что троянец BackDoor.Dockster.1 пытается загрузиться на компьютеры всех посетителей сайта далай-ламы, вне зависимости от используемой ими системной платформы. Вероятно, взломавшие данный сайт злоумышленники не смогли настроить на атакованном сервере соответствующую проверку клиентской ОС: в пользу этого предположения говорит то обстоятельство, что на инфицированном ресурсе специалистами «Доктор Веб» был обнаружен другой JAR-файл с именем install.jar, содержащий эксплойт CVE-2012-4681. С помощью этого файла на компьютер жертвы должна устанавливаться вредоносная программа семейства BackDoor.Gyplit, ориентированная на работу в ОС Windows и предназначенная для сбора и передачи злоумышленникам конфиденциальной информации, а также выполнения на инфицированной машине различных команд. Тем не менее, загрузки упомянутого выше JAR-файла в настоящий момент не происходит.

Известно о существовании как минимум еще двух веб-сайтов, при посещении которых выполняется проверка пользовательской ОС, и в зависимости от ее результатов на клиентский компьютер загружается соответствующий JAR-файл. В первом случае версия данного файла для пользователей Windows содержит Exploit.CVE2011-3544.83, с использованием которого происходит заражение вредоносной программой Trojan.Inject1.14703. Версия JAR-файла для других операционных систем эксплуатирует уязвимость CVE-2012-0507, при этом пользователи Mac OS X рискуют заразиться троянцем BackDoor.Lamadai.1. Эта же вредоносная программа загружается с инфицированного веб-сайта на компьютеры пользователей Linux, однако в данной операционной системе она неработоспособна.

Во втором случае на известном южнокорейском новостном сайте, освещающем события в Северной Корее, также осуществляется проверка операционной системы посетителя при помощи аналогичного сценария, однако вредоносный файл, в роли которого выступает троянец Trojan.MulDrop3.47574, «отдается» только пользователям Windows.

Имеют место и другие инциденты, связанные с именем далай-ламы: случаи распространения вредоносных программ и таргетированных вредоносных рассылок, так или иначе ассоциированных с темой борьбы за независимость Тибета, фиксировались и ранее. В целом можно говорить о тенденции использования злоумышленниками взломанных интернет-ресурсов для распространения вредоносного ПО, при этом атаки носят узконаправленный характер, поскольку взлому подвергаются в основном сайты политической и оппозиционной направленности, посвященные тибетской или северокорейской проблематике.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

49% россиян уверены, что умеют распознавать фишинг и скам

«Лаборатория Касперского» вместе с Почтой Mail и Hi-Tech Mail выяснили, насколько россияне чувствуют себя уверенно, когда дело доходит до фишинга и скама. Почти половина участников опроса (49 %) заявили, что умеют отличать мошеннические сообщения, хотя многие признались: ошибки всё же случаются.

Четверть респондентов (24 %) сказали, что способны заметить обман только в самых очевидных случаях, а ещё 23 % честно признались, что разбираются слабо, но стараются быть осторожными.

Эксперты напоминают: схемы атак становятся всё сложнее, и иногда без специальных технологий выявить их невозможно.

Как пользователи защищаются

Каждый четвёртый (27 %) старается не открывать вложения и не переходить по ссылкам из сомнительных писем. 15 % критически оценивают каждое входящее сообщение, а 10 % проверяют адрес отправителя. Ещё один из десяти установил защитное ПО на компьютер или смартфон, 9 % настроили двухфакторную аутентификацию.

Некоторые идут дальше: проверяют ссылки перед переходом, наводя на них курсор, чтобы увидеть реальный адрес, или смотрят на домен в строке браузера. Часть опрошенных даже связывается с отправителем по другим каналам, чтобы убедиться, что письмо действительно от него.

Почему одних навыков мало

Эксперт «Лаборатории Касперского» Роман Деденок напоминает: базовые правила кибергигиены важны, но сегодня этого может быть недостаточно. Злоумышленники всё чаще шлют персонализированные письма от имени «отдела кадров», снабжая их поддельными вложениями. Такие атаки сложно заметить без технической защиты.

Со своей стороны почтовые сервисы используют антиспам-фильтры, машинное обучение и предупреждения о подозрительных письмах. Но, как отмечает Дмитрий Моряков из Почты Mail, решающим фактором всё равно остаётся внимательность самих пользователей: именно человек в итоге либо отражает атаку, либо становится её жертвой.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru