Неуловимый троян встраивается в браузер, показывая выплывающие окна

Корпорация Symantec сообщает об обнаружении троянской программы, которая выводит пользователей на потенциально опасный контент и демонстрирует им рекламные сообщения в виде всплывающих в браузере окон. При этом сами открываемые сайты не заражены и вообще никак не связаны с содержимым всплывающего окна. Программа использует Sender Policy Framework (SPF) для обеспечения устойчивой связи между зараженными компьютерами и серверами злоумышленников и обходит типовые средства защиты.

Для вирусописателей очень важно иметь надежную связь между их вредоносной программой, оперирующей на зараженных компьютерах, и собственным сервером, так, чтобы вредоносная программа могла получать команды и обновления в любое время. Однако на пути взаимодействия между вредоносной программой и сервером управления может стоять шлюз или локальный брандмауэр, или их соединение может блокироваться системой предотвращений вторжений (intrusion prevention system, IPS). Поэтому авторы вредоносных программ пытаются обойти подобные средства защиты. Недавно эксперты Symantec обнаружили троянскую программу, которая использует для этих целей технологию SPF (Sender Policy Framework – среда политик отправителя), изначально созданную для подтверждения легитимности почтовых серверов с целью фильтрации спам-рассылок.

Принцип SPF – это отправка запроса к DNS-серверу и анализ его ответа. Если DNS-сервер отправителя настроен на использование SPF, DNS-ответ содержит SPF в виде текстовой (.txt) строки.

 

Рис. 1. Как работает SPF


Таблица ниже содержит ряд примеров SPF легитимных сайтов.


Таблица 1. Примеры SPF легитимных сайтов

 

 

Идея автора вредоносной программы состоит в том, что при использовании SPF домен или IP-адрес может быть получен через DNS-запрос, при этом сам запрос не обязательно должен исходить непосредственно от заражённого компьютера. Обычно в сети присутствует локальный кэширующий DNS-сервер, который отправляет запросы, полученные с локальных компьютеров, от своего имени.

Обнаружение троянской программы, использующей SPF

Недавно специалистами Symantec был обнаружен троянец (идентифицируемый продуктами Symantec как Trojan.Spachanel), который использует SPF. Вирус взламывает веб-браузер и встраивает вредоносный контент в каждую HTML-страницу. Схема, по которой осуществляется такая атака, представлена ниже.

 

Рис. 2. Сценарий атаки вируса Trojan.Spachanel


Для передачи вредоносных доменов и IP-адресов автор вируса решил использовать SPF, скорее всего для того, чтобы спрятать взаимодействие с ними в легитимных DNS-запросах. Если вредоносная программа пытается соединиться с сервером злоумышленника через порт с большим номером по стандартному протоколу, то она может быть заблокирована шлюзом, брандмауэром или системой предотвращения вторжений. В некоторых случаях определённые домены блокируются локальным DNS­-сервером, однако этот вирус создает запрос к домену, который чаще всего проходит через большинство фильтров. Более того, DNS-запросы, как правило, отправляются не напрямую – обычно в сети присутствует кэширующий DNS-сервер, что сильно снижает вероятность блокировки данного запроса брандмауэром. Таким образом, злоумышленник получает возможность поддерживать стабильную связь между вредоносной программой и управляющим сервером.

Что происходит после инфицирования

Встроенный JavaScript-тэг загружает вредоносный контент, который создает всплывающее окно в нижнем левом углу окнабраузера. При этом сами открываемые сайты не заражены и вообще никак не связаны с содержимым всплывающего окна (на рис. 3 это показано на примере главной страницы сайта Symantec). Таким образом, поскольку Java-скрипт встраивается в браузер, а не в сам веб-сервер, всплывающие окна не будут отображаться на незараженных компьютерах.

 

Рис. 3. Кажется, что сайт отображает вредоносный контент


Пока экспертам встречаются следующие четыре типа всплывающих окон.

Согласно тестам Symantec, если кликать на кнопки окон «PC Speed Test» и «PC Performer Test», пользователь перенаправляется на сайт, предлагающий для загрузки потенциально опасное содержимое. Всплывающее окно«how fast can you build your muscle mass?» (как быстро вы можете набрать мышечную массу?) похоже на рекламный баннер, анажатие на ссылку на момент написания данного материала ни к чему не приводило. Всплывающее окно с captcha-изображением наблюдалось лишь в одной атаке, и пока не определено, какая атака за ним стоит.

Очевидно, что целью этих атак является зарабатывание денег за счёт предложения загрузки потенциально опасного контента и путем набора кликов по рекламным ссылкам.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

За $500 в даркнете можно купить одну дозу вакцины от COVID-19

«Лаборатория Касперского» изучила 15 теневых площадок и обнаружила объявления о продаже трёх видов запатентованных вакцин от коронавируса — Pfizer/BioNTech, AstraZeneca и Moderna, а также некоторых ещё не запатентованных. Цены на дозу, необходимую одному человеку, варьируются от 250 до 1200 долларов США и в среднем держатся на отметке 500 долларов.

По данным «Лаборатории Касперского», объявления приходят преимущественно из Франции, Германии, Великобритании и США. Общение с продавцами происходит через защищённые мессенджеры с функцией удаления сообщений по таймеру. Оплата в основном требуется в биткойнах. Судя по анализу трансакций, многие авторы объявлений, обнаруженных «Лабораторией Касперского», провели от 100 до 500 операций.

«Сделать однозначный вывод, являются ли предложения о продаже вакцин в даркнете скамом или покупатели действительно получают то, что ищут, невозможно. Под некоторыми из таких объявлений были положительные отзывы. Можно предположить, что в результате части сделок люди действительно приобретали нужный товар. Теоретически это возможно, поскольку в медицинских учреждениях по всему миру при вскрытии упаковки с вакциной иногда остаются неиспользованные дозы. Однако получить гарантию, что все условия правильного хранения вакцины соблюдались, вряд ли получится. Нет гарантии и в том, что в ампулах действительно продаётся вакцина», — отмечает Дмитрий Галов, эксперт по кибербезопасности «Лаборатории Касперского».

Также на чёрном рынке продаются фальшивые сертификаты о вакцинации. Например, соответствующий документ европейского образца стоит около 20-25 долларов США. Кроме того, в некоторых странах требуется справка об отсутствии COVID-19, например для похода в офис или командировок, поездок в отпуск. В русскоязычном сегменте даркнета её стоимость оценивается в 3500-5000 рублей.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru