Файловый вирус Win32.Sector заразил более миллиона компьютеров

Файловый вирус Win32.Sector заразил более миллиона компьютеров

Среди вредоносных программ файловые вирусы встречаются не слишком часто, поэтому вирусWin32.Sector, с использованием которого злоумышленники создали обширный ботнет, представляет для специалистов по информационной безопасности особый интерес. Аналитики компании «Доктор Веб» исследовали этот вирус и смогли оценить текущие масштабы заражения.

Вредоносная программа Win32.Sector известна с 2008 года и представляет собой сложный полиморфный вирус, способный распространяться самостоятельно (без участия пользователей) и заражать файловые объекты. Его основная функция — загрузка из P2P-сети и запуск на зараженной машине различных исполняемых файлов. Эта вредоносная программа способна встраиваться в запущенные на инфицированном компьютере процессы, а также обладает возможностью останавливать работу некоторых антивирусных программ и блокировать доступ к сайтам их разработчиков. Вирус может инфицировать файловые объекты на локальных дисках и сменных носителях (где в процессе заражения создает файл автозапуска autorun.inf), а также файлы, хранящиеся в общедоступных сетевых папках. На сегодняшний день известно несколько модификаций Win32.Sector, различающихся реализацией протокола обмена данными в P2P-сети и другими структурными особенностями, сообщает news.drweb.com.

В силу своей архитектуры Win32.Sector не имеет управляющих серверов, вместо этого он использует соединение с другими ботами, работающими на зараженных машинах. Вирус определяет, имеет ли компьютер внешний IP-адрес или работает в сети, использующей NAT. После своего запуска на зараженном компьютере Win32.Sectorиспользует начальный список IP-адресов других ботов, с которыми устанавливает соединение. Если эта операция завершилась успешно, вирус выполняет следующие команды:

  1. Запрос файла конфигурации с URL для загрузки файлов (используется протокол UDP).
  2. Запрос плагинов (используется протокол TCP).
  3. Проверка наличия NAT – если он отсутствует, бот получает уникальный идентификационный номер ID (используется протокол UDP).
  4. Получение IP-адреса другой инфицированной машины для установки соединения (используется протокол UDP).

С использованием команды 3 работающий на зараженной машине вирус начинает выполнять функции маршрутизатора: с ним соединяются другие боты, действующие в сетях с NAT и не имеющие внешнего IP-адреса. Команда 4 позволяет получить список IP-адресов других инфицированных компьютеров. С помощью этих двух команд специалисты компании «Доктор Веб» получили возможность подсчитать общее количество инфицированных узлов ботнета и оценить масштабы распространения угрозы.

По информации на 20 мая 2014 года, в ботнете Win32.Sector насчитывается 1 197 739 уникальных ботов, из них 109 783 имеют внешний IP-адрес и могут выступать в роли маршрутизаторов для других зараженных узлов. Динамику роста ботнета можно проследить на представленном ниже графике:

 

Рост численности бот-сети Win32.Sector


В среднем ежесуточно активность проявляет около 60 000 инфицированных компьютеров. График активности бот-сети Win32.Sector представлен ниже:

 

Среднесуточная активность ботнета Win32.Sector

 

С точки зрения географии распространения, больше всего зараженных вирусом Win32.Sector компьютеров расположено на территории Тайваня — 212 401. На втором месте по числу заражений находится Египет (108 770), на третьем — Индия (106 249). В России зафиксировано 15 600 инфицированных компьютеров. Распространение файлового вируса Win32.Sector по странам мира показано на иллюстрации ниже:

 

 

В настоящее время с использованием бот-сети Win32.Sector распространяется несколько вредоносных программ:

  • Trojan.PWS.Stealer.1630 — программа для хищения паролей и другой конфиденциальной информации;
  • Trojan.Mssmsgs.4048 — плагин для рассылки спама;
  • Trojan.DownLoader8.17844 — http- и socks5-прокси;
  • Trojan.DownLoader10.49375 — http- и socks5-прокси;
  • Trojan.Siggen6.11882 — DNS-туннель (53 udp порт), ТСР-туннель (80 порт);
  • Trojan.Rbrute — троянец для взлома Wi-Fi-роутеров;
  • Trojan.Proxy.26841— туннель для передачи http-трафика на заданные узлы.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенник поделился подробностями афер

Осуждённый по статье 158 УК РФ (кража) злоумышленник, похитивший за почти два года более 4 млн рублей, рассказал, как занимался криминальной деятельностью и из-за чего в итоге был разоблачён.

Корреспондент издания «Лента.ру» взял интервью у Дмитрия, жителя Краснодара, отбывающего наказание в колонии за серию дистанционных краж. Его жертвами стали люди из разных регионов — от Калининграда до Приморья.

По словам Дмитрия, к преступной деятельности он пришёл в 2018 году после потери работы. Он пробовал разные схемы дистанционного мошенничества, но либо они не срабатывали, либо приносили слишком малый доход.

Только в июне 2020 года сработала схема, которую он придумал ранее: использование старых мобильных номеров, повторно выставленных на продажу. Дмитрий находил такие номера на сайтах операторов и проверял, не были ли они ранее привязаны к личным кабинетам на портале Госуслуг.

Пароли он подбирал с помощью фишинга, пользуясь тем, что многие используют один и тот же пароль для разных сервисов: «Я находил контакты бывшего владельца номера и, если получалось, сразу выкупал номер. Затем отправлял ему фишинговую ссылку на сайт, который сам создавал — якобы с очень выгодным предложением.

«Многие россияне используют один и тот же пароль — дату рождения, имя с отчеством или другие простые комбинации. Когда связка логина и пароля оказывалась у меня, я заходил на портал Госуслуг, аутентифицировался через купленный номер и менял пароль».

Подобная схема стала массово применяться мошенниками только в мае 2024 года — на это обратила внимание компания DLBI.

После получения доступа к аккаунту Дмитрий оформлял в банке кредитную карту на имя владельца. Средства с неё он выводил ещё до физического получения карты — на подконтрольные счета через подставные карты. По данным источников издания в правоохранительных органах, таких звеньев в цепочке может быть до 40, что серьёзно затрудняет расследование.

По словам Дмитрия, он никогда не работал из дома — всегда подключался к чужим точкам Wi-Fi и избегал камер видеонаблюдения.

За полтора года ему удалось похитить 4,75 млн рублей. Его задержали после того, как он потерял осторожность: находясь в состоянии опьянения, он попытался провернуть очередную операцию из квартиры, оформленной на его имя. Уже через несколько дней его вычислили оперативники.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru