«Лаборатория Касперского» поможет пользователям сетей «ВКонтакте» и «Одноклассники» проверить – украден ли их аккаунт

«Лаборатория Касперского» поможет пользователям «ВКонтакте» и «Одноклассники»

«Лаборатория Касперского» предлагает пользователям социальных сетей «ВКонтакте» и «Одноклассники» с помощью специальной онлайн-формы на сайте www.securelist.ru проверить, не оказались ли их регистрационные данные в руках злоумышленников.

Ранее сегодня стало известно о том, что на одном из хакерских сайтов были опубликованы данные учетных записей более 130 тысяч пользователей социальной сети «ВКонтакте». Эксперты «Лаборатории Касперского» проанализировали эту информацию и подтвердили факт компрометации. Сайт, на котором были опубликованы пароли (83.133.120.252), известен «Лаборатории Касперского» как фишинговый и блокируется антивирусными продуктами компании при попытке обращения к нему.

По предварительным данным, схема похищения логина и пароля для доступа к социальной сети была такой: сначала на компьютер пользователя устанавливалась вредоносная программа Trojan.Win32.VkHost.an (детектируется «Лабораторией Касперского» с 28 июля) – она распространялась через приложение ВКонтакте (hxxp://vkontakte.ru/app711384?&m=2, в настоящий момент заблокировано администрацией ресурса). После установки в систему данный троянец подменял содержимое файла hosts на следующее: 83.133.120.252 vkontakte.ru и 83.133.120.252 odnoklassniki.ru.

Впоследствии, когда пользователь пытался открыть сайт одной из этих социальных сетей, его перенаправляли на фишинговую страницу, в которой требовалось ввести свой логин и пароль. Регистрационные данные уходили в базы на том же сайте, а пользователю сообщалось, что его аккаунт будет заблокирован, причем для разблокирования нужно отправить на некий короткий номер СМС, стоимость которого достигала 10 долларов.

«В настоящий момент база украденных паролей «Одноклассников» на фишинговом сайте пуста, поэтому говорить о компрометации данных пользователей этой социальной сети пока нет оснований, – говорит Александр Гостев, руководитель центра глобальных исследований и анализа угроз «Лаборатории Касперского». Мы рекомендуем всем пользователям «ВКонтакте» и «Одноклассники» проверить содержимое своих файлов hosts, которые находятся в каталоге %windir%\system32\drivers\etc, и если в них обнаружены ссылки на vkontakte.ru и odnoklassniki.ru, удалить данные файлы. Также необходимо сменить все пароли от всех аккаунтов в социальных сетях. В случае попадания на подобные фишинговые страницы, ни в коем случае не следует вводить свои логин и пароль и не отправлять никаких SMS-сообщений».

Проверить, не оказались ли Ваши регистрационные данные в базе злоумышленников, можно на информационном портале www.securelist.ru «Лаборатории Касперского». При вводе электронного адреса пользователя осуществляется автоматическая проверка, после которой на сайте выдается сообщение о том, скромпроментирован ли его аккаунт. В положительном случае необходимо срочно сменить все используемые пароли от ресурсов, где использован такой же пароль (это могут быть социальные сети, электронная почта, ICQ и т.д.).

Проверка осуществляется здесь: http://www.securelist.com/ru/weblog/39133/Onlayn_proverka_dlya_postradav...

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru