Panda Security: Десятка самых самых интересных и необычных вирусов

Panda Security: Десятка самых самых интересных и необычных вирусов

Компания Panda Security составила список вредоносных кодов, которые хоть и не стали виновниками крупномасштабных эпидемий, но по той или иной причине выделились из ряда других в течение второй половины 2008 года

p2pShared.U, червь из гамбургера. Этот вредоносный код распространяется с помощью почтовых сообщений с темой: “McDonalds желает Вам счастливого Рождества!”. В сообщении речь шла о купоне, дающем право на бесплатный обед в McDonald’s. Но именно купон и являлся носителем вредоносного кода. В случае отсутствия хорошего решения безопасности, единственной бесплатным приобретением для пользователей в этом случае могло стать лишь несварение.

Agent.JEN, фальшивый посыльный. Представьте посыльного, звонящего в Вашу дверь с сообщением, что у него есть посылка для Вас. Как только дверь открывается, полчища мошенников захватывают Ваш дом. Именно к таким последствиям может привести Agent.JEN, появившись на Вашем компьютере. Он рассылается в почтовом сообщении, якобы отправленном UPS. Любой, кто пробует скачать или просто открыть вложение, запускает троян, который тут же начинает загружать другие виды вредоносного ПО на Ваш компьютер.

Banbra.FXT, судебный ордер. Притворяясь сообщением от бразильского суда, Banbra.FXT сообщал жертвам, что они якобы находятся под следствием, и предлагал просмотреть детализованный отчет, повествующий об обстоятельствах дела. Этот отчет на проверку оказывался ничем иным, как копией трояна. Однажды попав на компьютер, он будет красть банковские пароли, детали счетов и т.д.

Banker.LGC, нельзя верить всему, что пишут. Гонщик F1 Фернандо Алонсо стал участником дорожно-транспортного происшествия?Нет!Это всего лишь очередная история, придуманная этим трояном с целью заставить пользователей открыть видео-приложение.Те, кто скачивает и открывает такой видеофайл, заражают свои системы трояном, предназначенным для кражи банковской информации.

Sinowal.VTJ, вирус, который жалуется на получение вирусов. Пожалуй, это один из самых чудаковатых вредоносных кодов, появившихся во второй половине 2008 года. Он попадает на компьютеры жертв в почтовых сообщениях от анонимных отправителей, которые утверждают, что получатель якобы рассылал им вирусы, и грозятся заявить в полицию.Все усилия направлены на то, чтобы заставить пользователя открыть и распечатать приложение, которое якобы является доказательством вины пользователя в рассылке неких сообщений.А приложение просто-напросто содержит копию трояна Sinowal VTJ.

BatGen.D, испанский шеф-повар. Этот вредоносный код – специалист в области приготовления вредоносных закусок на любой вкус. Он попадает на компьютеры в виде файла под названием “personalcake.bat”. На деле он представляет собой инструмент для создания вредоносного ПО, который затем спрашивает у пользователя, каким именем он бы хотел назвать творение. Он спрашивает: “seleccionaelnombredelpastel” (выберите название для торта).

Aidreden.A, мрачный прорицатель. Каким бы странным ни показался Вам вредоносный код, раскрывающий пользователям будущее, именно он предсказывает всем скорую кончину. Но этот вредоносный код именно этим и промышляет. После заражения компьютера на экран выводится сообщение: “Вы умрете в следующем месяце”. Это диалоговое окно также снабжено опцией-кнопкой “OK”. Сложно вообразить, что кто-то из пользователей с этим согласится.

Banker.LLN, избранный президент. Данный троян попадал на компьютеры под видом файла с названием “barackobama.exe”, отмеченного иконкой флага Соединенных Штатов. Неудивительно, что этот вредоносный код не имел никакого отношения к выборам. Просто еще один подлый троян, разработанный для кражи банковской информации.

Banbra.GDB, бразильская полиция. Когда к вам стучится полиция, отрыть им – наиболее здравая мысль. Но не тогда, когда на самом деле это троян. Banbra.GDB попадает на компьютер под видом почтового сообщения, оправленного якобы от имени бразильской полиции. В сообщении говорится, что данный пользовательский компьютер задействован в противозаконной деятельности. Пользователям предлагается скачать отчет, предположительно содержащий доказательства. Однако любой, запустивший приложение, заражает свой компьютер банковским трояном.

Spammer.AKE, опасный друг. Этот червь распространяется с помощью почтовых сообщений, которые содержат ряд высказываний, связанных с дружбой и любовью. Но не дайте себя одурачить. Совсем не другом является тот, кто инфицирует Ваш компьютер, а затем использует его для рассылки спама.

Источник 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Android-троян GhostGrab уличен в клептомании и крипомайнинге

Проведенный в CYFIRMA анализ Android-зловреда GhostGrab показал, что это гибридная угроза. Новый модульный троян крадет ключи от банковских счетов и вдобавок использует ресурсы жертвы для добычи монеро.

Новобранец очень цепок, всегда работает в фоне и умело уклоняется от обнаружения и системных попыток прибить его процессы. Для получения команд и отправки украденного он обращается к Firebase.

Атака начинается с JavaScript-редиректа на сайте kychelp[.]live (домен был зарегистрирован в начале лета). При перенаправлении браузера автоматом происходит загрузка дроппера, замаскированного как BOM FIXED DEPOSIT.apk (результат VirusTotal на 28 октября — 26/61).

В поддержку иллюзии при установке жертве выводится интерфейс обновления, копирующий стиль Google Play. Успешно внедрившись, вредонос запрашивает разрешение на установку приложений из сторонних источников (REQUEST_INSTALL_PACKAGES) для беспрепятственного развертывания модуля банковского стилера.

Чтобы обеспечить себе постоянное присутствие в системе, дроппер выводит на экран уведомление и закрепляет его, инициируя запуск службы переднего плана.

 

Банковский модуль GhostGrab (детектируют 10 антивирусов из 66 на VirusTotal) вначале выполняет профилирование зараженного устройства, в частности, выясняет номер телефона и имя провайдера связи.

Он также запрашивает множество разрешений, в том числе доступ к СМС (для перехвата одноразовых кодов и уведомлений банков) и телефонной связи (для перевода звонков своему оператору и выполнения USSD-команд).

Чтобы беспрепятственно работать в фоне, зловред просится в список исключений по энергосбережению, скрывает свою иконку и использует механизмы автоматического перезапуска по системным событиям (перезагрузка ОС, изменение состояния экрана, возможность установления соединений).

 

Банкер также умеет выуживать интересующую его информацию с помощью фишинговых страниц. Заготовки вшиты в код и поочередно отображаются через WebView.

Вначале у жертвы запрашивают полное имя, уникальный идентификатор карты, номер счета — якобы для завершения процедуры KYC. После ввода ее попросят предоставить все данные дебетовой карты или учетки для доступа к системе ДБО.

Мониторинг заполнения фальшивых форм и вывод содержимого осуществляются с помощью JavaScript-сценария. Украденная информация направляется прямиком в Firebase и, как оказалось, хранится там в незашифрованном виде в общедоступной базе данных.

Для управления резидентным зловредом используются возможности Firebase Cloud Messaging: команды подаются в виде пуш-уведомлений.

Когда устройство жертвы заблокировано, GhostGrab может загрузить со стороннего сервера зашифрованный криптомайнер (libmine-arm64.so). Этот модуль тоже работает в фоне, используя монеро-кошелек, адрес которого жестко прописан в коде дроппера.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru