Обнаружен троянец-бэкдор использующий TeamViewer

Обнаружен троянец-бэкдор использующий TeamViewer

Специалистам в области информационной безопасности известно несколько разновидностей вредоносных программ, использующих для получения несанкционированного доступа к зараженному компьютеру популярную утилиту удаленного администрирования TeamViewer.

Новый троянец BackDoor.TeamViewer.49, обнаруженный вирусными аналитиками компании «Доктор Веб» в мае 2016 года, является исключением из этого правила, поскольку эксплуатирует данную программу с совсем иными целями.

Для распространения троянца BackDoor.TeamViewer.49 киберпреступники используют другую вредоносную программу — Trojan.MulDrop6.39120, которая реализована в виде поддельного обновления Adobe Flash Player. Исполняемый файл Trojan.MulDrop6.39120 действительно устанавливает плеер на работающий под управлением Windows компьютер, но при этом втайне от пользователя сохраняет на диск приложение TeamViewer, троянца BackDoor.TeamViewer.49 и необходимый для его работы конфигурационный файл. В процессе установки на экране демонстрируется окно настоящего инсталлятора Flash Player.

Обычно различные троянцы используют TeamViewer с целью организации несанкционированного доступа к зараженному компьютеру. Однако бэкдору BackDoor.TeamViewer.49 утилита TeamViewer нужна совсем по другой причине: он активно использует в своей работе различные внутренние функции процесса этой программы. Кроме того, при своем запуске TeamViewer автоматически помещает в память компьютера библиотеку avicap32.dll, чем и воспользовались злоумышленники: они поместили в папку, в которую Trojan.MulDrop6.39120 сохраняет это приложение, троянскую библиотеку с таким же именем. В момент запуска TeamViewer автоматически загружает ее в память.

После запуска программы TeamViewer BackDoor.TeamViewer.49 удаляет ее значок из области уведомлений Windows и отключает в системе функцию показа сообщений об ошибках. Также троянец использует специальный механизм, призванный исключить его повторный запуск на зараженном компьютере. Необходимые для работы BackDoor.TeamViewer.49 параметры хранятся в зашифрованном конфигурационном файле.

BackDoor.TeamViewer.49 регистрирует себя в автозагрузке, а затем в непрерывном цикле, но с определенными интервалами, устанавливает атрибуты «системный» и «скрытый» для своей папки, где хранятся сам исполняемый файл, вредоносная библиотека и файл конфигурации. Если в какой-то момент времени установить эти атрибуты не удалось, вредоносная программа приступает к процедуре удаления из системного реестра всех ключей, относящихся к программе TeamViewer.

В теле троянца хранится еще одна зашифрованная библиотека, реализующая вредоносные функции BackDoor.TeamViewer.49. В ней содержится специальным образом сформированный массив с именами управляющих серверов, от которых троянец может получать различные команды. Вся информация, которой бэкдор обменивается с управляющим сервером, шифруется.

Троянец способен выполнять несколько управляющих директив, однако две основные из них — это команды на установку соединения с указанным удаленным узлом (включая возможность авторизации на нем) и на перенаправление трафика от управляющего сервера на заданный удаленный узел через инфицированный компьютер. Это позволяет злоумышленникам обеспечить собственную анонимность в Интернете, соединяясь с удаленными узлами через зараженный компьютер как через обычный прокси-сервер.

Комментарий пресс-службы TeamViewer:

"Компания TeamViewer провела внутреннее расследование инцидента и может подтвердить, что бреши в защите ПО TeamViewer отсутствуют. Распространители трояна устанавливают TeamViewer посредством  вредоносной программы. Это не делает TeamViewer вредоносной или уязвимой программой. С тем же успехом злоумышленники могли использовать и  другие легальные приложения. Просим пользователей загружать TeamViewer с официального сайта компании и применять антивирусные решения".

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России внедрили ИИ-сервис для поиска пропавших детей

В Новосибирской области внедрили систему видеоаналитики на базе искусственного интеллекта, которая уже помогла найти шестерых пропавших детей. Речь идёт о технологии распознавания лиц, которая анализирует изображения с городских камер видеонаблюдения и сравнивает их с фотографией ребёнка.

Решение разработала компания NtechLab. Поиск запускается только с согласия родителей — нужно позвонить по номеру 112 и загрузить фотографию через специальный сервис. Далее изображение попадает в защищённую систему «Безопасный город», где начинается автоматический поиск.

Система работает с высокой точностью: она умеет распознавать лица даже в большом потоке людей. Если совпадение найдено — об этом сообщают правоохранителям.

Новосибирская область стала первым регионом, где технология начала применяться на практике. По словам региональных властей, цифровой инструмент оказался полезным и достаточно эффективным.

Также отмечается, что подобные решения могут быть встроены в уже существующие системы безопасности и использоваться в других регионах. В будущем таких инициатив, связанных с применением ИИ в социальной сфере, может стать больше.

«Важно, что те решения, которые разрабатывают отечественные компании в направлении искусственного интеллекта, несут не только пользу для бизнеса, но и решают общественные и социальные задачи. Уверен, что с каждым годом мы будем встречать все больше и больше кейсов, которые будут рассказывать о том, как ИИ помогает в той или иной сфере. В свою очередь, мы в "Группе Астра" создали программное решение сквозного конвейера для разработки технологии искусственного интеллекта. Наш проект "Тессеракт" будет способствовать расширению внедрения ИИ в различные сферы деятельности», — говорит Станислав Ежов, директор по ИИ «Группы Астра».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru