Новый бэкдор угрожает пользователям Windows

Новый бэкдор угрожает пользователям Windows

Специалисты компании «Доктор Веб» исследовали новую вредоносную программу, способную выполнять поступающие от злоумышленников команды и передавать на удаленный сервер сделанные на инфицированном компьютере снимки экрана. Бэкдор обладает механизмами проверки наличия на атакуемом компьютере виртуальной среды и антивирусных программ.

Троянец, получивший наименование VBS.BackDoor.DuCk.1, написан на языке Visual Basic и распространяется в виде файла ярлыка с расширением .lnk, в содержимое которого записан запакованный VBS-сценарий. При открытии ярлыка VBS-скрипт извлекается и сохраняется в виде отдельного файла, после чего происходит его запуск.

Троянец VBS.BackDoor.DuCk.1 использует весьма примечательный способ определения адреса управляющего сервера. В начале VBS-сценария предусмотрено три ссылки: две — на страницы видеохостинга YouTube, а еще одна — на страницу облачного сервиса Dropbox.

Троянец отправляет на данные ресурсы GET-запрос и в поступившем ответе выполняет поиск с заданным вирусописателями регулярным выражением: our (.*)th psy anniversary. Полученное в результате поиска значение делится на 31 337 — итог этой математической операции представляет собой число, которое после перевода в шестнадцатеричную форму соответствует значению IP-адреса управляющего сервера. Для проверки его работоспособности троянец отправляет по указанному адресу специальный GET-запрос и проверяет в ответе наличие строки «ОКОКОК», сообщает drweb.ru.

VBS.BackDoor.DuCk.1 обладает специальным механизмом проверки наличия на атакуемом компьютере виртуальной среды, а также работающих процессов различных приложений для мониторинга операционной системы. Также в самом бэкдоре реализовано выявление на инфицированном компьютере нескольких антивирусных программ (в случае обнаружения таковых троянец не выполняет один из своих сценариев).

В директории текущего пользователя Windows VBS.BackDoor.DuCk.1 создает вложенную папку, которую использует в качестве рабочей. В целях маскировки троянец сохраняет в папке для размещения временных файлов документ vtoroy_doc.doc и демонстрирует его пользователю:

 

 

При этом можно предположить, что изначально злоумышленники планировали использовать в качестве «приманки» презентацию PowerPoint, поскольку в коде троянца реализован алгоритм завершения процесса данного приложения (если установлен соответствующий флаг), однако по каким-то причинам передумали.

Для создания снимков экрана бэкдор использует собственную библиотеку, при этом сами скриншоты сохраняются во временную папку в виде файлов с расширением .tmp. С помощью специального REG-файла троянец отключает расширения браузера Microsoft Internet Explorer, а если вредоносная программа запущена в операционной системе Windows Vista, то с помощью другого REG-файла VBS.BackDoor.DuCk.1 отключает в данном браузере режим protected. Помимо этого, VBS.BackDoor.DuCk.1 реализует собственный автоматический запуск путем размещения в папке автозагрузки соответствующего ярлыка:

 

 

Для получения команд от управляющего сервера троянец с интервалом в одну минуту направляет на него соответствующий запрос. Среди специальных команд VBS.BackDoor.DuCk.1 может выполнить скачивание на инфицированный компьютер другого вредоносного приложения, либо с помощью запроса загрузить снимки экрана на удаленный сервер. Все остальные команды VBS.BackDoor.DuCk.1 передает командному интерпретатору CMD или PowerShell. Также данный бэкдор способен выполнить на зараженной машине Python-сценарий, результаты работы которого в зашифрованном виде передаются на принадлежащий злоумышленникам сервер.

Спрос на рекламу в Telegram снизился до 12%, но рынок не рухнул

Массового обрушения рынка рекламы в Telegram не произошло. Снижение спроса не превышает 12% и в основном затронуло сферы, где особенно важна визуальная составляющая: моду и стиль, кулинарию, интерьер и строительство. При этом эффективность рекламы, напротив, скорее выросла.

Такую оценку «Газете.Ru» дала руководитель отдела контентного продвижения и инфлюенс-маркетинга E-Promo Ксения Голубева.

Ключевым фактором стало разрешение размещать рекламу на платформе до конца года. При этом каналы активно перестраиваются: пересматривают частоту публикаций, формат контента и рекламные интеграции.

Ограничения слабо сказались и на активности авторов каналов:

«По данным WhoIsBlogger на конец марта, полностью прекратили публикации лишь около 2% каналов — это очень небольшая доля для такой чувствительной среды. Большинство авторов продолжает работать, пусть и более осторожно».

В марте объём публикуемого контента снизился по сравнению с февралем заметнее — более чем на 12%. Вместе с ним сократилась и рекламная активность. Однако к драматическим последствиям это не привело: по оценке Ксении Голубевой, каналы скорее оптимизируют частоту размещений и аккуратнее работают с рекламодателями.

Сильнее всего пострадали сегменты, где важен визуальный контент: мода, лайфстайл, интерьер, строительство и кулинария.

«Такие форматы сильнее зависят от стабильного трафика. При любом снижении охвата именно визуальный контент проседает быстрее. Мы уже видим, как часть рекламодателей и авторов в этих нишах переориентируются на более простые текстовые форматы, которые дешевле в производстве и устойчивее к колебаниям трафика», — рассказала Ксения Голубева.

При этом эффективность рекламы даже выросла за счёт снижения конкуренции. Кроме того, оставшиеся игроки получили более выгодные условия размещения.

В то же время несколько усложнился таргетинг. Причиной стало использование средств обхода блокировок, из-за чего снижается точность геотаргетинга по отдельным регионам и городам.

По мнению эксперта, дальше ситуация будет развиваться по сценарию, похожему на историю с Instagram (принадлежит признанной в России экстремистской и запрещённой корпорации Meta). Сокращение рекламы, вероятно, пройдёт в две волны: сначала уходят самые осторожные игроки, а следующая волна возможна позже, когда ограничения окончательно закрепятся и оставшиеся участники рынка пересоберут свои стратегии. Однако резкого падения не ожидается: скорее произойдёт перераспределение рынка между другими площадками.

RSS: Новости на портале Anti-Malware.ru