Троянцы Trojan.Hosts заражают по 8 000 компьютеров в сутки

Компания «Доктор Веб» информирует пользователей об участившихся случаях взломов злоумышленниками веб-сайтов с целью загрузки на компьютеры пользователей вредоносных программ семейства Trojan.Hosts. Масштабы распространения этой угрозы в начале 2013 года приняли почти эпидемический характер. Пик распространения троянцев Trojan.Hosts пришелся на январь и середину февраля, когда ежесуточно на компьютерах пользователей фиксировалось порядка 9 500 случаев заражения. В марте Trojan.Hosts заражают около 8 000 компьютеров в сутки.

Для взлома веб-сайтов злоумышленники используют протокол FTP, подключаясь к ресурсам с использованием похищенных ранее логинов и паролей. Затем на взломанный сайт загружается специальный командный интерпретатор (шелл), с использованием которого изменяется файл .htacess, а на сайте размещается вредоносный скрипт.

В результате, при заходе на зараженный сайт скрипт выдает посетителю веб-страницу, содержащую ссылки на различные вредоносные приложения. В частности, таким образом в последнее время начали широко распространяться троянцы семейства Trojan.Hosts.

Следует отметить, что троянцы этого семейства распространяются злоумышленниками отнюдь не только с помощью взломанных сайтов. Была организована и работа нескольких партнерских программ, через которые киберпреступникам выплачивается вознаграждение за получение прибыли с жертвыTrojan.Hosts. Таким образом, эти троянцы могут попадать на компьютеры потенциальных жертв и иными путями — например, с использованием бэкдоров и троянцев-загрузчиков.

Напомним, что основное предназначение вредоносных программ семействаTrojan.Hosts — модификация файла hosts, расположенного в системной папке Windows и отвечающего за трансляцию сетевых адресов сайтов. В результате вредоносных действий при попытке перейти на один из популярных интернет-ресурсов пользователь зараженного компьютера перенаправляется на принадлежащую злоумышленникам веб-страницу.

Масштабы распространения этой угрозы в начале 2013 года приняли почти эпидемический характер. Так, пик распространения троянцев Trojan.Hosts пришелся на январь и середину февраля, когда ежесуточно на компьютерах пользователей фиксировалось порядка 9 500 случаев заражения вредоносными программами данного семейства. В начале марта число инфицированных рабочих станций стало немного сокращаться — например, за сутки 11 марта было выявлено всего 7 658 случаев заражения (количество подсчитывается по числу зафиксированных случаев изменения троянцем содержимого файла hosts на инфицированных компьютерах).

Большинство известных модификаций Trojan.Hosts успешно удаляется из системы антивирусным ПО Dr.Web, более того, в антивирусных продуктах Dr.Web версии 8 предусмотрен специальный механизм защиты файла hosts от его модификации вредоносным ПО, который можно настроить в разделе Инструменты → Настройки → Превентивная защита → Уровень блокировки подозрительных действий → Пользовательский, переключив антивирус в административный режим (функция блокировки записи в файл hosts по умолчанию включена).

Кроме того, IP-адреса взломанных сайтов оперативно добавляются в базы Dr.Web, поэтому подобные ресурсы блокируются при обращении к ним компонентом Dr.Web SpIDer Gate. В случае если антивирус заблокировал доступ к какому-либо популярному или известному ресурсу, специалисты «Доктор Веб» рекомендуют выполнить проверку жестких дисков вашего компьютера на наличие угроз.

Если вы не используете постоянную антивирусную защиту Dr.Web и стали жертвой данной вредоносной программы, рекомендуется выполнить полную проверку компьютера с помощью бесплатной лечащей утилиты Dr.Web CureIt! и в случае необходимости отредактировать содержимое файла Windows\System32\Drivers\etc\hosts, удалив оттуда все лишние записи.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

СУАТМ поможет бороться с кол-центрами и звонками мошенников в мессенджерах

В России может появиться еще одна антифрод-платформа. По замыслу, система учета и анализа телефонного мошенничества (СУАТМ) позволит вовлечь в обмен данными всех заинтересованных лиц с тем, чтобы охватить даже такие каналы, как IP-телефония и мессенджеры.

Автором идеи объединить на общей платформе всех участников рынка — банки, операторов связи, регуляторов, правоохранительные органы — является «Тинькофф». По сути, это будет аналог автоматизированной системы ФинЦЕРТ Банка России, но для телекома, у которого сейчас есть только «Антифрод» Роскомнадзора.

СУАТМ в числе прочего поможет в реальном времени выявлять операторов, обеспечивающих работу мошеннических кол-центров, и сообщать о таких нарушениях регулятору. Новую систему также можно будет использовать для блокировки IMаккаунтов, используемых обманщиками, и звонков с виртуальных сим-карт.

Сценарий взаимодействия при этом может выглядеть следующим образом. Клиент жалуется банку на мошеннический звонок, тот отправляет уведомление в СУАТМ, система в режиме реального времени получает от телеоператора информацию об инициаторе звонка.

Если это другой оператор, перебирается вся цепочка (за несколько минут), и данные «нулевого пациента» передаются всем провайдерам для блокировки мошеннического трафика либо аккаунта в мессенджере. Об источнике также ставятся в известность РКН и МВД. Если виновник — оператор, его могут оштрафовать на 500 тыс. руб. за пропуск мошеннических звонков.

По словам «Тинькофф», банки, операторы, ЦБ положительно восприняли инициативу. Однако для эффективной работы СУАТМ придется корректировать нормативную базу. Операторов нужно будет обязать подключиться к новой антифрод-платформе. Кроме того, созданию подобной системы наверняка будет мешать регуляторный запрет на передачу персональных данных сторонним организациям.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru