Новый бэкдор угрожает пользователям Windows

Новый бэкдор угрожает пользователям Windows

Специалисты компании «Доктор Веб» исследовали новую вредоносную программу, способную выполнять поступающие от злоумышленников команды и передавать на удаленный сервер сделанные на инфицированном компьютере снимки экрана. Бэкдор обладает механизмами проверки наличия на атакуемом компьютере виртуальной среды и антивирусных программ.

Троянец, получивший наименование VBS.BackDoor.DuCk.1, написан на языке Visual Basic и распространяется в виде файла ярлыка с расширением .lnk, в содержимое которого записан запакованный VBS-сценарий. При открытии ярлыка VBS-скрипт извлекается и сохраняется в виде отдельного файла, после чего происходит его запуск.

Троянец VBS.BackDoor.DuCk.1 использует весьма примечательный способ определения адреса управляющего сервера. В начале VBS-сценария предусмотрено три ссылки: две — на страницы видеохостинга YouTube, а еще одна — на страницу облачного сервиса Dropbox.

Троянец отправляет на данные ресурсы GET-запрос и в поступившем ответе выполняет поиск с заданным вирусописателями регулярным выражением: our (.*)th psy anniversary. Полученное в результате поиска значение делится на 31 337 — итог этой математической операции представляет собой число, которое после перевода в шестнадцатеричную форму соответствует значению IP-адреса управляющего сервера. Для проверки его работоспособности троянец отправляет по указанному адресу специальный GET-запрос и проверяет в ответе наличие строки «ОКОКОК», сообщает drweb.ru.

VBS.BackDoor.DuCk.1 обладает специальным механизмом проверки наличия на атакуемом компьютере виртуальной среды, а также работающих процессов различных приложений для мониторинга операционной системы. Также в самом бэкдоре реализовано выявление на инфицированном компьютере нескольких антивирусных программ (в случае обнаружения таковых троянец не выполняет один из своих сценариев).

В директории текущего пользователя Windows VBS.BackDoor.DuCk.1 создает вложенную папку, которую использует в качестве рабочей. В целях маскировки троянец сохраняет в папке для размещения временных файлов документ vtoroy_doc.doc и демонстрирует его пользователю:

 

 

При этом можно предположить, что изначально злоумышленники планировали использовать в качестве «приманки» презентацию PowerPoint, поскольку в коде троянца реализован алгоритм завершения процесса данного приложения (если установлен соответствующий флаг), однако по каким-то причинам передумали.

Для создания снимков экрана бэкдор использует собственную библиотеку, при этом сами скриншоты сохраняются во временную папку в виде файлов с расширением .tmp. С помощью специального REG-файла троянец отключает расширения браузера Microsoft Internet Explorer, а если вредоносная программа запущена в операционной системе Windows Vista, то с помощью другого REG-файла VBS.BackDoor.DuCk.1 отключает в данном браузере режим protected. Помимо этого, VBS.BackDoor.DuCk.1 реализует собственный автоматический запуск путем размещения в папке автозагрузки соответствующего ярлыка:

 

 

Для получения команд от управляющего сервера троянец с интервалом в одну минуту направляет на него соответствующий запрос. Среди специальных команд VBS.BackDoor.DuCk.1 может выполнить скачивание на инфицированный компьютер другого вредоносного приложения, либо с помощью запроса загрузить снимки экрана на удаленный сервер. Все остальные команды VBS.BackDoor.DuCk.1 передает командному интерпретатору CMD или PowerShell. Также данный бэкдор способен выполнить на зараженной машине Python-сценарий, результаты работы которого в зашифрованном виде передаются на принадлежащий злоумышленникам сервер.

Возбуждено уголовное дело против пенсионерки, разыгравшей схему Долиной

В Туле возбудили уголовное дело в отношении местной пенсионерки, которая попыталась воспользоваться так называемой «схемой Долиной»: продать квартиру под влиянием мошенников, а затем вернуть её через суд. При этом деньги, полученные от покупателя, она возвращать не стала.

Как сообщил телеграм-канал «База», 70-летняя жительница Тулы действительно продала квартиру в 2024 году, находясь под воздействием телефонных аферистов.

Однако после сделки женщина осознала, что стала жертвой мошенников, и не стала переводить им вырученные средства.

За два месяца после продажи она успела потратить около 1,6 млн рублей на личные нужды. При этом затем пенсионерка обратилась в суд с требованием расторгнуть договор купли-продажи и вернуть квартиру.

Покупатель жилья, оставшийся и без недвижимости, и без денег, обратился в правоохранительные органы. По его заявлению было возбуждено уголовное дело по факту мошенничества.

Как сообщают региональные СМИ, покупатель намерен обжаловать судебное решение, по которому квартира осталась у прежней собственницы. Он и его адвокат изучают практику Верховного суда, который ранее признал право собственности на квартиру, проданную Ларисой Долиной, за Полиной Лурье.

На фоне резонанса вокруг подобных дел в Туле появилась и бизнес-инициатива: местная предпринимательница Светлана Овсянникова подала заявку на регистрацию товарного знака «Бабушкина схема Долиной». Под этим названием планируется запуск сервиса по проверке сделок с недвижимостью.

В целом ситуация, получившая название «эффект Долиной», уже привела к тому, что российские суды всё чаще возвращают прежним владельцам квартиры и другую недвижимость, проданную под воздействием телефонных мошенников.

RSS: Новости на портале Anti-Malware.ru