Обнаружен троянец-бэкдор использующий TeamViewer

Обнаружен троянец-бэкдор использующий TeamViewer

Специалистам в области информационной безопасности известно несколько разновидностей вредоносных программ, использующих для получения несанкционированного доступа к зараженному компьютеру популярную утилиту удаленного администрирования TeamViewer.

Новый троянец BackDoor.TeamViewer.49, обнаруженный вирусными аналитиками компании «Доктор Веб» в мае 2016 года, является исключением из этого правила, поскольку эксплуатирует данную программу с совсем иными целями.

Для распространения троянца BackDoor.TeamViewer.49 киберпреступники используют другую вредоносную программу — Trojan.MulDrop6.39120, которая реализована в виде поддельного обновления Adobe Flash Player. Исполняемый файл Trojan.MulDrop6.39120 действительно устанавливает плеер на работающий под управлением Windows компьютер, но при этом втайне от пользователя сохраняет на диск приложение TeamViewer, троянца BackDoor.TeamViewer.49 и необходимый для его работы конфигурационный файл. В процессе установки на экране демонстрируется окно настоящего инсталлятора Flash Player.

Обычно различные троянцы используют TeamViewer с целью организации несанкционированного доступа к зараженному компьютеру. Однако бэкдору BackDoor.TeamViewer.49 утилита TeamViewer нужна совсем по другой причине: он активно использует в своей работе различные внутренние функции процесса этой программы. Кроме того, при своем запуске TeamViewer автоматически помещает в память компьютера библиотеку avicap32.dll, чем и воспользовались злоумышленники: они поместили в папку, в которую Trojan.MulDrop6.39120 сохраняет это приложение, троянскую библиотеку с таким же именем. В момент запуска TeamViewer автоматически загружает ее в память.

После запуска программы TeamViewer BackDoor.TeamViewer.49 удаляет ее значок из области уведомлений Windows и отключает в системе функцию показа сообщений об ошибках. Также троянец использует специальный механизм, призванный исключить его повторный запуск на зараженном компьютере. Необходимые для работы BackDoor.TeamViewer.49 параметры хранятся в зашифрованном конфигурационном файле.

BackDoor.TeamViewer.49 регистрирует себя в автозагрузке, а затем в непрерывном цикле, но с определенными интервалами, устанавливает атрибуты «системный» и «скрытый» для своей папки, где хранятся сам исполняемый файл, вредоносная библиотека и файл конфигурации. Если в какой-то момент времени установить эти атрибуты не удалось, вредоносная программа приступает к процедуре удаления из системного реестра всех ключей, относящихся к программе TeamViewer.

В теле троянца хранится еще одна зашифрованная библиотека, реализующая вредоносные функции BackDoor.TeamViewer.49. В ней содержится специальным образом сформированный массив с именами управляющих серверов, от которых троянец может получать различные команды. Вся информация, которой бэкдор обменивается с управляющим сервером, шифруется.

Троянец способен выполнять несколько управляющих директив, однако две основные из них — это команды на установку соединения с указанным удаленным узлом (включая возможность авторизации на нем) и на перенаправление трафика от управляющего сервера на заданный удаленный узел через инфицированный компьютер. Это позволяет злоумышленникам обеспечить собственную анонимность в Интернете, соединяясь с удаленными узлами через зараженный компьютер как через обычный прокси-сервер.

Комментарий пресс-службы TeamViewer:

"Компания TeamViewer провела внутреннее расследование инцидента и может подтвердить, что бреши в защите ПО TeamViewer отсутствуют. Распространители трояна устанавливают TeamViewer посредством  вредоносной программы. Это не делает TeamViewer вредоносной или уязвимой программой. С тем же успехом злоумышленники могли использовать и  другие легальные приложения. Просим пользователей загружать TeamViewer с официального сайта компании и применять антивирусные решения".

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

MAX стал обязательным звеном при работе с электронной подписью

Работа с электронной подписью в России скоро изменится. Теперь все документы, которые раньше приходили в приложение «Госключ» напрямую, будут сначала поступать через национальный мессенджер MAX. Так власти хотят не только «упростить процесс», но и — не скрывают — увеличить аудиторию мессенджера.

24 июня Владимир Путин подписал закон о национальном мессенджере. А уже в июле премьер Михаил Мишустин официально утвердил: этим мессенджером станет MAX, за который отвечает структура «ВКонтакте» — «Коммуникационная платформа».

Согласно новому порядку, все юрлица, ИП и физлица, использующие усиленную квалифицированную или неквалифицированную электронную подпись (УКЭП и УНЭП), будут взаимодействовать с документами через MAX. Подписание по-прежнему происходит в «Госключе», но путь документа к пользователю теперь лежит через мессенджер.

Как это будет работать?

Раньше схема была простой: документ приходил в «Госключ», пользователь его подписывал. Теперь, как объясняют в Минцифры, он сначала попадает в чат MAX, а уже оттуда — в «Госключ» на подписание. Всё это должно происходить «бесшовно».

Например, если банк хочет отправить клиенту договор на подписание — он направляет его через MAX. А человек, получив документ, перенаправляет его в «Госключ» и ставит подпись.

Есть исключения?

Да. Требование не распространяется на государственные органы — что именно под этим подразумевается, в Минцифры не уточнили. Но известно, что документы от «Госуслуг», как и раньше, будут поступать напрямую в «Госключ».

Также источник РБК из сферы ИБ уточняет: речь идёт в первую очередь о документах от коммерческих организаций — например, договорах с банками, сделках с недвижимостью, сим-картах и т. п.

А что говорят разработчики?

В самом MAX от комментариев отказались. Но ранее глава Минцифры Максут Шадаев прямо говорил, что одна из целей — «включить электронную подпись в оборот» через MAX. В качестве примера он приводил ситуацию: человек приходит в салон связи, сканирует QR-код, загружает договор в MAX, подписывает и отправляет оператору — всё в одном приложении.

Минцифры прокомментировало статью РБК, опровергнув ряд заявлений. В частности, ведомство подчёркивает:

«В издании РБК вышла статья «MAX стал обязательным для получения документов на электронную подпись». В связи с этим Минцифры отдельно обращает внимание: сообщения о том, что мессенджер MAX будет обязательным для подписания электронных документов, не соответствуют действительности».

На самом деле, по словам представителей Минцифры, в законе идёт речь только про подпись документов в «Госключе». Он не затрагивает другие сервисы для подписания документов электронной подписью.

Документ не предусматривает, что в MAX обязательно будут направляться все документы для подписи в «Госключе». В тексте закона говорится об «использовании инфраструктуры», это также могут быть уведомления о пришедших в «Госключ» документах.

На днях мы писали, что мессенджер MAX обновил политику конфиденциальности: теперь все пользовательские данные, включая списки контактов, должны храниться на территории России. Эти сведения, согласно новым правилам, могут быть переданы государственным органам в соответствии с законодательством.

Тем не менее у MAX уже обнаружен ряд проблем. В частности, речь шла о возможной передаче данных за рубеж, использовании компонентов из недружественных стран (включая библиотеки польского и украинского происхождения), а также о сборе технической информации об устройстве без ведома пользователя.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru