Пользователи "ВКонтакте" подверглись вирусной атаке

"Лаборатория Касперского", выявила очередную атаку злоумышленников на социальную сеть "ВКонтакте". Через интерфейс социальной сети ее пользователи получали спам-сообщения, содержащие в себе ссылку на зараженные веб-сайты.

В сообщениях, которые получали пользователи, предлагалось посетить новый недорогой порносайт или пообщаться в порночате. Там же помещалась ссылка на сервер, перенаправляющий пользователей на различные сайты с видеороликами нецензурного содержания. Для их просмотра требовалась установка дополнительного кодека, под видом которого на компьютер пользователя загружалась троянская программа Trojan.Win32.Crypt.ey. Она устанавливает в систему вредоносный объект BHO (Browser Helper Object), который начинает действовать вместе с запуском браузера и позволяет злоумышленнику контролировать заражённый компьютер.

Таким образом, троянская программа начинает рассылать подобные спам-сообщения всем людям из контактного листа, если владелец зараженного компьютера является пользователем сервиса "ВКонтакте". Тот факт, что письмо, полученное от знакомого человека, вызывает к себе доверие, повышает шансы злоумышленников на успешную атаку. Эксперты "Лаборатории Касперского" отмечают также, что на заражённом ПК пять первых результатов поисковых запросов, осуществлённых с помощью ресурсов Yandex.ru, Google.com, Rambler.ru, Live.com, MSN.com и Yahoo.com, подменяются ссылкой на порносайт.

По данным "Лаборатории Касперского", подобным образом было похищено около 4000 аккаунтов пользователей "ВКонтакте", с которых впоследствии осуществлялась отправка новых спам-сообщений. Есть также данные, что вредоносные сайты, на которые направляют пользователей "ВКонтакте" в спам-сообщениях, посещают более 22 000 пользователей ежедневно.

"Лаборатория Касперского" сообщила, что сигнатура троянской программы Trojan.Win32.Crypt.ey была добавлена в антивирусные базы 17 июля 2008 года. Информация для обезвреживания вредоносной библиотеки BHO была добавлена 14 июля 2008 года.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вредонос Hive окончательно перешел на Rust и сменил подход к шифрованию

Опасения ИБ-экспертов сбылись: Windows-версию Hive тоже переписали на Rust; в результате шифровальщик стал работать быстрее, надежнее и повысил устойчивость к анализу. Новые образцы вредоноса, разобранные в Microsoft, также используют другой, более сложный метод шифрования.

Шифровальщик Hive, предоставляемый пользование как услуга (RaaS), объявился в интернете немногим более года назад. Вредоносный код на тот момент был написан на Go и заточен под Windows. Осенью зловреда портировали на Linux — не совсем удачно, поэтому позднее шифратор в этой версии был переписан на Rust.

Эксперимент оправдал себя, и наблюдатели из ИБ-сообщества предрекли, что нововведение, ранее опробованное на примере BlackCat/ALPHV, перекочует в Windows-версию Hive. По словам экспертов, использование Rust в данном случае дает такие преимущества, как безопасность по памяти, типам данных и потокам, полный контроль над низкоуровневыми ресурсами, многопоточность, широкий выбор криптобиблиотек, осложнение реверс-инжиниринга.

Первые образцы Windows-версии Hive на Rust, как показало исследование, были загружены на VirusTotal 21 февраля — через пару дней после публикации отчета корейских специалистов, которым удалось получить мастер-ключ зловреда. В ходе анализа семплов в Microsoft выяснилось, что Hive теперь использует другие алгоритмы шифрования: Диффи-Хеллмана для эллиптических кривых и ChaCha20 (прежде применялась связка AES+RSA).

Обновленный вредонос генерирует в памяти два набора ключей, пускает их в ход, затем шифрует и записывает в формате .key в корневой каталог диска с зашифрованными данными — вместо того чтобы вставлять их в обработанные файлы, как ранее. Чтобы не путать ключи к разным файлам, их имена изменяются: к оригинальному полному имени добавляются имя релевантного файла .key, знак подчеркивания, дефис и закодированная по base64 строка, указывающая на два разных блока данных в key-файле. Результат может выглядеть следующим образом: C:\myphoto.jpg.l0Zn68cb _ -B82BhIaGhI8.

 

В рамках апгрейда вирусописатели также опробовали построчное шифрование кода как меру противодействия анализу. Содержимое секции ресурсов .rdata расшифровывается во время выполнения программы — через XOR с константами, значения которых в семплах могут различаться.

Еще одно нововведение, тоже ожидаемое: учетные данные для доступа жертв к персонализированным страницам в сети Tor теперь, как и в Linux-версии Hive, передаются как аргумент командной строки (-u <логин>:<пароль>). Прежде они были вшиты в код зловреда, и аналитики могли извлечь их и следить за ходом переговоров о выкупе.

Существенный апгрейд Hive — еще одно доказательство того, что в мире шифровальщиков все быстро меняется. В этом месяце стало известно о прекращении операций AstraLocker — вымогатели выложили в общий доступ дешифраторы, решив заняться криптоджекингом. Освободившуюся нишу сразу занял новичок RedAlert, способный атаковать и Windows, и Linux (серверы VMWare ESXi).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru