Специалист ЛК учит бороться с вирусом-шантажистом

Специалист Лаборатории Касперского Олег Зайцев опубликовал заметку о том, как можно бороться с вирусом-шантажистом.

Семейство Trojan-Ransom.Win32.Blocker является классическим примером вредоносных программ, предназначенных для шантажа и вымогательства. При установке на компьютер они прописываются в автозагрузку, в ключ реестра [Software\Microsoft\Windows NT\CurrentVersion\Winlogon], параметр "Userinit", в результате чего блокируют запуск ОС. Получив управление на запуске ОС, зловреды отображают окно с требованием отправить SMS с определенным текстом на указанный короткий номер. В ответ пользователю обещают выслать код разблокировки, который отключит вредоносную программу и разблокирует загрузку компьютера.

Сам по себе Trojan-Ransom.Win32.Blocker несложно удалить при помощи AVZ, AVPTool или вручную из редактора реестра, но есть одна проблема — загрузка ПК блокирована, и пользователь не может получить доступ к рабочему столу и запустить какие-либо программы или утилиты. Защищённый режим Windows также заблокирован.

"Мне стало интересно, всё ли так безнадежно и может ли пользователь сделать что-либо без спецсредств, Live CD и особых технических знаний?", - задался вопросом Олег Зайцев. В результате изысканий был обнаружен довольно простой алгоритм. Сначала необходимо нажать комбинацию WIN-U, что вызовет окно специальных возможностей, изображенное на рисунке.

Оно обладает очень высоким приоритетом и не блокируется трояном. В появившемся окне выбираем экранную лупу, а в окошке данного инструмента кликаем на гиперссылку "Веб-узел Майкрософт". Это приведет к запуску IE, из которого можно загружать любые целебные утилиты, типа AVZ или AVPTool, и запускать программы с диска ПК (в строке адреса можно указать любую программу), online-сканер и т.п.

 

http://www.viruslist.com/ru/weblog 

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фишеры атакуют небольшие российские организации под видом компании из Дубая

В новой фишинговой кампании киберпреступники пытаются достать учётные данные от почтовых ящиков сотрудников небольших российских организаций. Для прикрытия используется некая дубайская компания, которую интересует наличие продукта.

Как выяснили специалисты «Лаборатории Касперского», злоумышленники пишут целевым сотрудникам от имени главы отдела закупок дубайской компании. Их интересует наличие того или иного товара или аналогичные модели.

Подробностей в этих электронных письмах нет, зато есть ссылка, которая с виду ведёт на файлообменник, где можно посмотреть детали заказа на поставку. Если работник кликнет по такому URL, его переведут на фейковую страницу, имитирующую окно аутентификации популярного почтового сервиса.

Само собой, введя логин и пароль на этой странице, вы отправляете их прямиком в руки фишеров, а у последних появляется полный доступ к вашему почтовому ящику.

Более того, заполучив контроль над вашим имейлом, злоумышленник может сбрасывать пароли на других сайтах (где ящик использовался при регистрации).

Киберпреступники предусмотрительно составляют фишинговые письма на русском языке, причём делают это даже без опечаток, как отметили исследователи из Kaspersky.

Тем не менее можно сразу отметить несколько моментов, как минимум вызывающих подозрения: например, письмо приходит с личного, а не корпоративного имейла; более того, отправитель обращается на «ты» и начинает письмо со слова «привет». Такое, конечно, недопустимо в деловой переписке.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru