Эксперты Eset обнаружили в Китае новую угрозу

Эксперты Eset обнаружили в Китае новую угрозу

Компания Eset сообщает об обнаружении потенциально вредоносных модулей в популярном менеджере загрузок Xunlei (Thunder). Компоненты этой программы собирают информацию без ведома пользователя, а также устанавливают дополнительные приложения на Android-устройства.

Семейство данных компонентов детектируется решениями Eset NOD32 под общим названием Win32/Kankan.

Xunlei (в переводе с китайского – «гром» или «удар молнии») – файлообменный клиент, разработанный китайской компанией Thunder Networking Technologies. Сегодня сайт Xunleiежемесячно посещают более 400 млн человек, а по количеству активных пользователей он опережает даже известный файлообменный клиент uTorrent.

В середине августа эксперты Eset обратили внимание на компоненты Xunlei, в поведении которых был замечен необычный функционал. Помимо возможностей, привычных для менеджера загрузок, Xunlei содержит потенциально вредоносные компоненты, используемые в качестве бэкдоров (от англ. backdoor, «черный ход»).

Эти компоненты осуществляют скрытую загрузку и установку на компьютер пользователя дополнительного ПО, а также пересылают информацию о системе на удаленный сервер. Кроме того, специалисты Eset обнаружили модуль, который может устанавливать приложения не только на сам ПК, но и на подключенное к нему устройство под управлением ОС Android. Все эти действия осуществляются без ведома пользователя.

Следует отметить, что данные компоненты подписаны цифровым сертификатом компании-разработчика Xunlei Networking Technologies, что придает им статус доверенных файлов.

Тщательный анализ компонентов загрузчика показал, что для их запуска и обеспечения «выживаемости» в системе был использован пакет решений Microsoft Office.

Когда пользователь запускает одно из приложений этого программного пакета – Word, Excel или любое другое, – то в память, маскируясь под плагин этого приложения, подгружается специальная динамическая библиотека (dll, dynamic-link library) загрузчика Xunlei.

Эта библиотека содержит функционал бэкдора, с помощью которого она отправляет информацию об ОС пользователя на удаленный сервер. Кроме того, библиотека может распознавать программное обеспечение, способное отследить ее сомнительную активность.

Другой запускаемый компонент Xunlei – своего рода «апдейтер» – осуществляет загрузку на компьютер пользователя сторонних исполняемых файлов с их дальнейшей активацией. После выполнения этих действий запускается последний компонент, т.н. «сервис», отвечающий за исполнение различных команд.

Особый интерес представляет команда installphoneapp, применяемая для загрузки мобильных приложений (apk-файлов) с последующей установкой на Android-устройство, подключенное к компьютеру по USB. Данные приложения, в том числе, имеют рекламную направленность. Эти действия также совершаются в скрытом режиме.

 

Brave начал скрывать видеокарту от любопытных сайтов

В Brave 1.93 появилась защита от отслеживания пользователей по характеристикам графического оборудования. Браузер теперь маскирует подробные сведения, которые сайты получают через WebGL и WebGPU. Функция включена по умолчанию на компьютерах и Android, а обновление будет распространяться постепенно в течение нескольких дней.

WebGL и WebGPU нужны для ускоренной графики, игр и интерактивных элементов.

Однако вместе с полезными возможностями они раскрывают модель видеокарты, сведения о драйверах и поддерживаемых функциях. Трекеры объединяют эти данные с другими параметрами и получают устойчивый цифровой отпечаток браузера.

Графический адаптер особенно удобен для слежки: пользователи меняют его заметно реже, чем IP-адрес или файлы cookie. Видеокарта может годами работать внутри компьютера и всё это время исправно представлять хозяина каждому любопытному сайту.

Теперь Brave заменяет строки производителя и визуализатора WebGL одним универсальным значением, скрывает данные адаптера WebGPU и случайным образом меняет списки расширений WebGL. Это должно сделать отпечатки менее точными и не позволить сайтам уверенно связывать разные сеансы с одним устройством.

Перед массовым запуском разработчики проверили механизм в Nightly- и бета-версиях браузера. Компания старалась сохранить работу сайтов, урезав только объём информации, доступной системам слежения.

Если новый режим всё же сломает графику или интерактивные функции, его можно отключить для конкретного сайта. Пользователям также разрешено полностью выключить защиту от цифровых отпечатков или систему Shields.

В дальнейшем Brave собирается рандомизировать и список поддерживаемых расширений WebGPU. Проверить, сколько информации раскрывает браузер, можно с помощью сервиса EFF Cover Your Tracks.

RSS: Новости на портале Anti-Malware.ru