Новый червь «охотится» на пользователей Windows Live Messenger и MySpace

Новый червь «охотится» на пользователей Windows Live Messenger и MySpace

Вирусные аналитики компании Eset обнаружили новую вредоносную программу, распространяющуюся через Windows Live Messenger, социальные сети MySpace, Hi5. Вредоносное программа в настоящее время детектируется антивирусными продуктами и не представляет опасности для пользователей антивирусных решений Eset NOD32.

Программа классифицирована как самореплицирующийся червь. При проникновении на компьютер пользователя червь рассылает по контакт-листу Windows Live Messenger сообщение на испанском языке «Yo creo que esta es tu fotografia!» со ссылкой на загрузку вредоносного кода. При этом в письме содержится просьба открыть ссылку и скачать изображение автора письма.

Как только получатель сообщения перешел по ссылке, червь добавляет себя в папку [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] и сохраняется как %windir%winrofl32.exe. Программа функционирует как стандартный IRC-бот и прописывается в логе канала IRC.

Интересно, что компонент вредоносной программы, отвечающий за рассылку спам-сообщений, а также текст сообщения могут быть легко изменены. Широким распространением в социальных сетях и среди пользователей Windows Live Messenger червь обязан методам социальной инженерии, которые применили злоумышленниками — пользователь получает сообщение от знакомого контакта, которому склонен доверять.

«Важно отметить, что формулировка, содержание, даже язык посланного сообщения могут измениться. Сам червь, скорее всего, будет модифицироваться разработчиками, что затруднит его детектирование сигнатурными методами. Однако мы уверены, что эвристические технологии, используемые в продуктах компании Eset, позволят бороться не только с этой угрозой, но и с ее модификациями», — отметил Григорий Васильев, технический директор Eset.

Windows требует включить антивирус, который уже работает

Microsoft подтвердила ошибку в Microsoft Defender: Windows показывает уведомление «Включите защиту от вирусов», хотя антивирус уже работает и защита в реальном времени активна. Предупреждения появляются после последних обновлений Defender, при запуске компьютера или прямо во время работы. Фикса пока нет.

Нажатие на уведомление ничего не исправляет и просто открывает главную страницу приложения «Безопасность Windows». Можно закрыть баннер, но вскоре он способен вернуться с тем же посылом.

Проблема затрагивает Windows 11 версий 23H2, 24H2 и 25H2, а также Windows 10 и выпуски Windows Server с актуальным Microsoft Defender. Ошибка связана именно с обновлением антивируса, а не с конкретной сборкой операционной системы.


Особенно назойливо ведёт себя система уведомлений: предупреждения обходят общие настройки Windows и продолжают появляться даже при включённом режиме «Не беспокоить». Microsoft работает над исправлением и обещает выпустить его с одним из следующих обновлений Defender, но сроков пока не называет.

Автоматически считать любой такой баннер ложным всё же не стоит, похожие сообщения могут показывать и вредоносные программы. Проверить защиту можно в разделе «Безопасность Windows» → «Защита от вирусов и угроз». Параметр «Защита в реальном времени» должен быть включён.

Для дополнительной проверки в PowerShell можно выполнить:

Get-MpComputerStatus | Select-Object AntivirusEnabled,RealTimeProtectionEnabled,AMServiceEnabled

Если напротив всех трёх параметров указано True, Defender работает, а предупреждение можно игнорировать.

RSS: Новости на портале Anti-Malware.ru