BackDoor.Dande.2 заразил 400 аптек на юге России

BackDoor.Dande.2 заразил 400 аптек на юге России

Недавно уже сообщалось о распространении узкоспециализированной троянской программы BackDoor.Dande, предназначенной для хищения информации из приложений, используемых аптеками и фармацевтическими фирмами для закупки медикаментов. Вирусописатели модифицировали данного троянца, немного изменив его архитектуру.

Специалисты компании «Доктор Веб» установили, что эта вредоносная программа инфицировала компьютеры порядка 400 аптек, расположенных преимущественно в южных регионах России. С помощью BackDoor.Dande.2 злоумышленники похищают информацию об объемах заказов и ценах закупаемых этими организациями лекарств.

Напомним, что троянцы семейства BackDoor.Dande заражают компьютеры, работающие под управлением Microsoft Windows. Первая версия этой вредоносной программы была предназначена для хищения информации из нескольких используемых в фармацевтической индустрии «систем электронного заказа», таких как специализированная конфигурация «Аналит: Фармация» для платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании «Аптека-Холдинг», программа формирования заявок компании «Российская Фармация», система электронного заказа фармацевтической группы «Роста», программа «Катрен WinPrice» и некоторых других. Обновленная версия BackDoor.Dande, получившая наименование BackDoor.Dande.2, ориентирована на сбор данных только из приложения «АИАС ИНПРО-ФармРынок» производства компании «Информационные Технологии», сообщает news.drweb.com.

В составе BackDoor.Dande.2 имеется два драйвера — один из них, размером порядка 8 КБ, обычно хранится в файле с именем rpcssprt.sys или isaPnpPrt.sys, его основное предназначение — загрузка в память инфицируемого компьютера другого драйвера, имеющего то же имя, но другое расширение — .cfg. Если драйверу удается открыть файл с полезной нагрузкой, он расшифровывается, распаковывается и загружается в память. Оба файла имеют цифровую подпись, зарегистрированную на имя SPВ Group OOO.

При этом в свойствах драйвера isaPnpPrt.sys указано, что этот файл якобы является драйвером ATAPI производства Microsoft Corporation. В целом складывается впечатление, что данный драйвер был приобретен вирусописателями у сторонних разработчиков в качестве средства для загрузки в память неподписанных драйверов.

Основной драйвер BackDoor.Dande.2 в различных модификациях используется множеством других вредоносных программ – например, Trojan.Spambot, BackDoor.BlackEnergy и BackDoor.Bulknet. В качестве основы для этого компонента был взят руткит Blackreleaver. Драйвер создает в системе новое виртуальное устройство, которое реализует различные сервисы, например, удаление по команде злоумышленников вредоносного драйвера с диска и связанных с ним данных из системного реестра, получение из реестра значения ID троянца, поднятие привилегий для текущего процесса (применяется перед запуском загруженных из сети файлов) и т. д. Необходимые для своей работы параметры вредоносный драйвер сохраняет в системном реестре Windows. Например, если он представлен в виде файла с именем isaPnpPrt, данные будут размещены в ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\isaPnpPrt. Функционал этого драйвера, по сравнению с версиями, использовавшимися в других вредоносных программах, сильно ограничен: фактически, он реализует только одну основную задачу — встраивание полезной нагрузки в процессы explorer.exe и svchost.exe. Часть изначально реализованных в драйвере возможностей до сих пор присутствует в его архитектуре, но никак не используется.

Механизм установки драйверов реализован в модуле pexec.dll — именно он расшифровывает полезную нагрузку из своего тела, сохраняет драйверы на диске, вносит соответствующие изменения в системный реестр Windows и запускает драйвер с использованием функции NtLoadDriver.

Другой модуль, реализованный в виде динамической библиотеки с именем fmauto.dll или fmauto2.dll, — предназначен собственно для хищения информации из системы электронного заказа медикаментов. Этот компонент извлекает из программы-клиента файл со сведениями о закупках лекарств, формирует архив, устанавливает для него пароль и отправляет к себе на сервер. Архив может включать содержимое следующего вида:

info.txt
Аптека-******* г.Ростов-на-Дону.csv
*******-Фарма г.С-Петербург.csv
******-Ростов.csv
***** г.Волгоград.csv
**** г.Краснодар.csv
***** (*****фармация) Ростовский филиал.csv
*** ****** г.Ростов-на-Дону.csv

Файл info.txt обычно содержит сведения об инфицированном компьютере, например:
Client Name: ООО "****-Фарм"
Date: 02.04.2014
OS Version: Windows XP
Client Version: 1.5.160.0
Module Version: 4.3
COMPNAME: ***SRV
Date3: 02.04.2014
PC TIME: 02.04.2014 13:11:20

Каждый из файлов с расширением .CSV, в свою очередь, включает данные о закупках медикаментов и расценках на различные препараты, например:
Date: 02.04.2014
Firm: Аптека-******* г.Ростов-на-Дону
Скидки-наценки: Конечные цены!
Код;Цена;Минимальная цена;Остаток;
27484;204,36;9 месяцев Омегамама капс. 0.7г N30;Отечественные лекарства Польша;166,19;9;
29772;1343,3;Авандамет табл. п.п.о. 2мг/500мг N56;GlaxoSmithKline Traiding Испания;1181,91;5;
21385;310,45;Адвантан мазь 0.1% туба 15г;Bayer Consumer Италия;273,1;347;
26518;59,28;Адрианол капли назальн. фл.-кап. 10мл;Actavis Сербия;52,53;93;
15955;26,59;Азитромицин капс. 250мг N6;Вертекс ЗАО Россия;23,8;3530;
33329;112,41;Азитромицин табл. п.п.о 500 мг N3;Березовский фармацевтический з Россия-Македония;99,3;269;


В составе троянца имеется еще несколько модулей, реализующих различные функции, например, библиотека exist.dll, предназначенная для борьбы с различными неполадками в работе вредоносной программы.

Согласно информации, собранной специалистами компании «Доктор Веб» в процессе анализа BackDoor.Dande.2, за последнее время эта вредоносная программа заразила компьютеры более 400 аптек, большая часть которых расположена в Ростове-на-Дону и Ростовской области. С этих рабочих станций похищается и передается злоумышленникам вся информация о заказах лекарств и актуальных закупочных ценах.

Закупки VPN госзаказчиками выросли в штуках, но упали в деньгах

Общее количество завершённых закупок виртуальных частных сетей (VPN), по данным «Контур.Эгиды» и Staffcop, в 2025 году выросло на 18,5% в количественном выражении — с 8,7 тыс. до 10,3 тыс. процедур. При этом совокупный объём рынка за тот же период сократился на 25,9% — с 32,97 млрд до 24,43 млрд рублей.

Ключевой причиной столь разнонаправленной динамики аналитики называют заметное снижение средней стоимости контрактов. По итогам 2025 года она уменьшилась на 38% и составила 2,44 млн рублей против 3,92 млн рублей годом ранее.

Одновременно усилилось и снижение цен со стороны поставщиков: с 14,7% в 2024 году до 18,4% в 2025 году.

Наиболее ёмким сегментом рынка VPN остаются закупки по 44-ФЗ. В 2025 году в этом сегменте было проведено 4,3 тыс. процедур на сумму 19,87 млрд рублей. Для сравнения, годом ранее объём закупок по 44-ФЗ составлял 29,18 млрд рублей при 4,1 тыс. процедур. Основным фактором снижения в денежном выражении стало падение средней стоимости контракта почти на треть — с 7,1 млн до 4,62 млн рублей.

Закупки по 223-ФЗ, напротив, продемонстрировали умеренный рост, в том числе в денежном выражении. В 2025 году их объём достиг 3,28 млрд рублей против 2,48 млрд рублей годом ранее, а количество сделок увеличилось с 468 до 532. При этом уровень снижения цены за год вырос с 15,4% до 18,5%, что, по оценке аналитиков, указывает на усиление конкуренции, прежде всего в крупных контрактах.

В коммерческом сегменте в 2025 году было зафиксировано около 1,0 тыс. закупок VPN на сумму 791 млн рублей, тогда как годом ранее — 758 сделок на 965 млн рублей. В малых закупках количество процедур выросло с 3,4 тыс. до 4,5 тыс., а совокупный объём — с 345 млн до 482 млн рублей. При этом средняя стоимость сделки практически не изменилась и составила около 100 тыс. рублей.

Снижение совокупного объёма рынка VPN на фоне роста количества закупок аналитики во многом связывают с эффектом отложенного спроса. Значительная часть крупных заказчиков ранее закрыла потребности в VPN-инфраструктуре, заключив контракты сразу на несколько лет, что снизило потребность в новых крупных закупках в 2025 году.

Дополнительным фактором стало перераспределение части закупок на специализированные электронные площадки, из-за чего снизился «видимый» объём рынка в открытых сегментах 44-ФЗ и 223-ФЗ. Одновременно заказчики всё чаще прибегают к малым и упрощённым процедурам, поскольку такой формат быстрее и удобнее при типовых задачах и ограниченных бюджетах.

Ситуацию на рынке прокомментировал Юрий Драченин, заместитель руководителя продуктовой группы «Контур.Эгида» и Staffcop («СКБ Контур»):

«В сегменте присутствует большое количество производителей, включая новых и нишевых игроков, которые активно выходят к заказчикам с альтернативными решениями. В результате крупные организации, уже внедрившие комплексные и дорогостоящие VPN-платформы, сокращают объёмы новых закупок, тогда как спрос смещается в сторону малого и среднего бизнеса. Это усиливает ценовую конкуренцию и приводит к снижению средней стоимости контрактов при росте количества процедур», — отметил он.

RSS: Новости на портале Anti-Malware.ru