«Лаборатория Касперского» запустила новый веб-сервис разблокировки зараженных ПК

«Лаборатория Касперского» запустила новый веб-сервис разблокировки зараженных ПК

В течение 2009 г. эксперты «Лаборатории Касперского» зафиксировали несколько эпидемий троянов-вымогателей класса Trojan-Ransom. По словам специалистов компании, на данный момент отмечается новый всплеск активности этих зловредных программ.

По данным «Лаборатории Касперского», чаще всего вредоносное ПО класса Trojan-Ransom попадает на компьютеры пользователей под видом видеокодеков, электронных книг или аудиофайлов. При этом действия данных программ направлены на блокирование доступа к информации на компьютере или же на ограничение возможности работы на ПК. Для возврата к исходному состоянию системы троянские программы требуют прислать на указанные короткие номера платные SMS-сообщения. Стоимость одного сообщения варьируется, составляя в среднем несколько сотен рублей.

В настоящее время эксперты «Лаборатории Касперского» отмечают рост числа так называемых «псевдолегальных» программ-блокеров: эти приложения имеют лицензионные пользовательские соглашения, в которых упоминается возможность блокировки компьютера. Пользователи фактически добровольно соглашаются на установку вредоносных программ на свой ПК: к сожалению, процент людей, внимательно читающих подобные документы перед установкой ПО в систему, весьма невелик. При этом некоторые зловреды практически не оставляют шансов сколько-нибудь подробно ознакомиться с пользовательским соглашением, показывая его лишь на пару секунд или же вовсе не показывая его, а затем автоматически устанавливаются в систему.

Новый веб-сервис «Лаборатории Касперского» призван помочь пользователям в борьбе с программами-вымогателями, блокирующими компьютер. Для получения кода разблокировки в полях электронной формы необходимо указать: номер телефона, на который предлагают отправить SMS; текст сообщения, которое требуют отправить на этот номер.

Источник 

Хакеры клонировали сайт CERT-UA и разослали зловред под видом защиты

Киберпреступники провели целевую фишинговую кампанию, замаскировавшись под украинскую CERT-UA. Злоумышленники не просто рассылали письма, они создали клон официального сайта и предлагали жертвам скачать якобы «защитный инструмент», который на деле оказывался зловредом.

Атаки фиксировались 26-27 марта и были направлены на широкий круг организаций: государственные структуры, банки, учебные заведения, медицинские учреждения и ИТ-компании.

Сценарий выглядел убедительно: в письмах от имени CERT-UA предлагалось скачать архив с названием вроде «CERT_UA_protection_tool.zip», якобы содержащий средство защиты.

На практике внутри архива находился троян AGEWHEEZE. После запуска он давал атакующим полный контроль над системой: позволял выполнять команды, управлять файлами, делать скриншоты, следить за действиями пользователя и даже эмулировать нажатия клавиш и движения мыши.

 

Дополнительно злоумышленники подстраховались инфраструктурой. Они развернули поддельный сайт cert-ua[.]tech, визуально копирующий официальный ресурс CERT-UA и использующий его контент. Это повышало доверие и делало атаку ещё более правдоподобной.

Сам зловред написан на Go и умеет закрепляться в системе — например, через установку в каталог AppData и создание задач в планировщике. Для связи с командным сервером он использует WebSocket-соединение, что позволяет атакующим получать постоянный доступ к заражённым устройствам.

CERT-UA связала кампанию с группой UAC-0255. Косвенное подтверждение появилось и в публичном поле: телеграм-канал «КИБЕР СЕРП» заявил о причастности к атаке, а в коде поддельного сайта нашли характерную подпись «With Love, CYBER SERP».

RSS: Новости на портале Anti-Malware.ru