«Доктор Веб» сообщает об эпидемиях Trojan.Packed.1198 и Trojan.PWS.Panda.31

«Доктор Веб» сообщает об эпидемиях Trojan.Packed.1198 и Trojan.PWS.Panda.31

Компания «Доктор Веб» сообщает о резком росте в почтовом трафике за последнюю неделю количества спам-писем с приложенным архивом, в котором содержится вредоносная программа, определяемая антивирусом Dr.Web как Trojan.Packed.1198.

Исходное письмо, которое приходит пользователю, имеет яркий заголовок - «New anjelina jolie sex scandal». В теле письма находится приглашение открыть приложенный файл, в котором якобы находится порно-ролик. Стоит отметить, что данный прием широко распространен в современных спам-рассылках, однако последняя стала настолько массовой (более 50% всего инфицированного почтового трафика в пиковые часы по данным по данным сервера статистики компании «Доктор Веб»), что Trojan.Packed.1198 заразилось множество пользователей, как в России, так и по всему миру.

Архив, приложенный к письму, содержит установщик вредоносной программы на компьютер пользователя - anjelina_video.exe размером 44 032 байта. В свою очередь он содержит файл, определяемый Dr.Web как Trojan.MulDrop.17829. Вредоносная программа проверяет, не установлены ли уже в системе некоторые из известных видов лже-антивирусов (различные модификации Trojan.FakeAlert). В случае наличия их в системе, Trojan.MulDrop.17829 завершает работу и удаляет себя. Если же никаких признаков лжеантивирусов не обнаруживается, троянец принимается за активные действия.

Прежде всего, Trojan.MulDrop.17829 расшифровывает находящийся внутри него файл и сохраняет его в системном каталоге с именем brastk.exe. Сохраненный файл тоже определяется как Trojan.Packed.1198, т.к. в нем используется упаковщик, схожий с тем, что используется в исходном файле. Также в системе сохраняется файл figaro.sys. При загрузке драйвера троян временно заменяет им драйвер beep.sys, что позволяет маскировать запуск своих драйверов от многих антируткит-утилит. В завершение троян уничтожает исходный файл и перезагружает систему.

Активность трояна состоит в изменении настроек зон безопасности Windows, отключении предупреждения Windows об отсутствии антивируса, выключенном встроенном файерволле, а также обновлений. При этом встроенный файерволл также отключается. Затем троян удаляет из реестра данные расширений Internet Explorer и устанавливает в качестве поискового движка Google, также меняя стартовую страницу на www.google.com. В конце концов, троян выводит сообщение о том, что компьютер инфицирован и предлагает скачать средство борьбы. Интересная особенность заключается в том, что он скачивает вредоносные файлы ещё до вывода сообщения о заражении системы пользователя.

Пик спам-рассылок с Trojan.Packed.1198 пришелся на 20-22 октября. С 25 октября в практически идентичных письмах началась рассылка вредоносных программ, определяемых Dr.Web как Trojan.PWS.Panda.31.

Компания «Доктор Веб» предостерегает всех пользователей от запуска вложений из писем, которые приходят с неизвестных адресов, и советует быть более бдительными к рассмотрению предложений вирусописателей. В случае установки антивируса Dr.Web на уже инфицированную систему, все угрозы Trojan.Packed.1198 будут оперативно нейтрализованы.

Через Minecraft детей заманивают в Telegram и втягивают в мошенничество

Мошенники добрались до детей и через Minecraft. Столичный департамент образования и науки предупредил, что злоумышленники начали использовать игровые чаты, чтобы выходить на российских подростков и втягивать их в опасные мошеннические схемы.

По данным ведомства, последовательность выглядит так: школьников находят прямо в чатах Minecraft, завязывают разговор, а затем предлагают перейти в Telegram — якобы чтобы удобнее обсудить игровые вопросы.

Дальше сценарий усложняется. После перехода в мессенджер мошенники представляются «сотрудниками кибербезопасности» и начинают запугивать ребёнка.

Они могут обвинять его в передаче координат спецслужбам, угрожать задержанием и давить психологически. Цель, как и во многих подобных схемах, одна — заставить подростка украсть деньги у родителей и передать их курьерам.

То есть игра в этой истории становится просто точкой входа. Сначала обычный контакт в знакомой для ребёнка среде, потом — перевод общения в Telegram, а дальше уже классическая схема давления, построенная на страхе, срочности и авторитетном тоне.

На фоне таких случаев уполномоченный по правам ребёнка в Москве Ольга Ярославская ранее отмечала, что нужно отдельно изучать психологические факторы, из-за которых подростки оказываются уязвимы для подобных манипуляций.

И это, пожалуй, ключевой момент: мошенники всё чаще работают не только с технологиями, но и с эмоциями, хорошо понимая, как именно давить на ребёнка.

RSS: Новости на портале Anti-Malware.ru