Обнаружен полиморфный банковский вирус Bolik

Обнаружен полиморфный банковский вирус Bolik

Обнаружен полиморфный банковский вирус Bolik

В июне 2016 года вирусные аналитики компании «Доктор Веб» завершили исследование нового опасного вируса. Он способен красть деньги со счетов клиентов российских банков, похищать конфиденциальную информацию и различными способами шпионить за своей жертвой.

Вирус наследует некоторые технические решения широко известных банковских троянцев Zeus (Trojan.PWS.Panda) и Carberp, но в отличие от них умеет распространяться без участия пользователя и заражать исполняемые файлы. В этом и заключается его основная опасность. Помимо прочего, его крайне сложно вывести с зараженного компьютера: лечение может занимать несколько часов.

Эта вредоносная программа получила наименование Trojan.Bolik.1. Ее важным отличием от других современных банковских троянцев, таких как Zeus и Carberp, является способность самостоятельно распространяться без участия пользователя и заражать исполняемые файлы. Такие вредоносные программы называют полиморфными файловыми вирусами, пишет news.drweb.ru.

Умение распространяться самостоятельно и инфицировать программы можно назвать наиболее опасным свойством этого банкера. Функция самораспространения активируется по команде злоумышленников, после чегоTrojan.Bolik.1 начинает опрашивать доступные для записи папки в сетевом окружении Windows и на подключенных USB-устройствах, ищет хранящиеся там исполняемые файлы и заражает их. При этом Trojan.Bolik.1 может инфицировать как 32-, так и 64-разрядные приложения.

Зараженные этим вирусом программы детектируются Антивирусом Dr.Web под именем Win32.Bolik.1. Внутри каждой такой программы хранится в зашифрованном виде сам банковский троянец Trojan.Bolik.1, а также другая необходимая вирусу информация. Если пользователь запустит на своем компьютере инфицированное приложение, вирус расшифрует банковского троянца Trojan.Bolik.1 и запустит его прямо в памяти атакуемого компьютера, без сохранения на диск. При этом вирус имеет специальный встроенный механизм, позволяющий «на лету» изменять код и структуру собственной части, отвечающей за расшифровку Trojan.Bolik.1. Таким образом вирусописатели пытаются затруднить обнаружение своего детища антивирусными программами. Кроме того, Win32.Bolik.1 пытается противодействовать антивирусам, умеющим пошагово выполнять вредоносные программы в специальном эмуляторе, — в архитектуре этого вируса предусмотрены своеобразные «замедлители», состоящие из множества циклов и повторяющихся инструкций.

От Carberp Trojan.Bolik.1 унаследовал виртуальную файловую систему, которая хранится в специальном файле. Этот файл троянец размещает в одной из системных директорий или в папке пользователя. Виртуальная файловая система позволяет вредоносной программе скрыто хранить на зараженном компьютере нужную ей для работы информацию. У Zeus Trojan.Bolik.1 позаимствовал механизм встраивания в просматриваемые пользователями веб-страницы постороннего содержимого, то есть реализацию технологии веб-инжектов. С ее помощью злоумышленники похищают у своих жертв логины и пароли для доступа к системам «банк-клиент» и другую ценную информацию. Trojan.Bolik.1ориентирован прежде всего на кражу информации у клиентов российских банков — об этом свидетельствуют характерные строчки в конфигурационном файле, передаваемом вирусу с управляющего сервера.

Основное назначение Trojan.Bolik.1 — кража различной ценной информации. Он может достичь этой цели разными способами. Например, контролировать данные, передаваемые и отправляемые браузерами Microsoft Internet Explorer, Chrome, Opera и Mozilla Firefox. Благодаря этому троянец способен похищать информацию, которую пользователь вводит в экранные формы. Кроме того, в шпионский арсенал банкера входит модуль для создания снимков экрана (скриншотов) и фиксации нажатий пользователем клавиш (кейлоггер). Также Trojan.Bolik.1 умеет создавать на зараженной машине собственный прокси-сервер и веб-сервер, позволяющий обмениваться файлами со злоумышленниками. Нужные файлы эта вредоносная программа может найти по заданной в специальной команде маске. Как и некоторые другие современные банковские троянцы, Trojan.Bolik.1 в состоянии организовывать так называемые «реверсные соединения» — с их помощью киберпреступники получают возможность «общаться» с зараженным компьютером, находящимся в защищенной брандмауэром сети или не имеющим внешнего IP-адреса, то есть работающим в сети с использованием NAT (Network Address Translation). Вся информация, которой Trojan.Bolik.1обменивается с управляющим сервером, шифруется по сложному алгоритму и сжимается.

Функциональные возможности Trojan.Bolik.1 выглядят поистине пугающими, а его внутренняя архитектура довольно-таки сложна и неоднозначна. Антивирус Dr.Web детектирует и удаляет все компоненты этого опасного вируса, однако в связи с некоторыми особенностями внутреннего устройства Trojan.Bolik.1 лечение зараженного компьютера может занять длительное время. Пострадавшим от действия этой вредоносной программы пользователям рекомендуется набраться терпения в процессе антивирусного сканирования ПК.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Выручка Группы Астра выросла на 22% и достигла 10,4 млрд рублей

«Группа Астра» опубликовала неаудированные финансовые результаты за первые девять месяцев 2025 года. Компания отмечает, что продолжает работать в условиях высокой неопределённости и жесткой денежно-кредитной политики, которые сдерживают отгрузки. Тем не менее по ряду показателей зафиксирован рост.

Отгрузки за январь–сентябрь составили 9,7 млрд рублей — примерно на уровне прошлого года. Выручка при этом увеличилась на 22% и достигла 10,4 млрд рублей.

Рост объясняется увеличением продаж ОС Astra Linux и сопровождения продуктов, а также признанием доходов по ранее выполненным поставкам.

Показатели прибыльности остаются положительными. Скорректированная EBITDA достигла 2,2 млрд рублей, скорректированная чистая прибыль — 1 млрд рублей. В компании отмечают, что бизнес традиционно сильно зависит от сезонности: большая часть отгрузок приходится на второе полугодие, а до половины — на декабрь.

Долговая нагрузка остаётся умеренной: коэффициент чистый долг/EBITDA на 30 сентября составил 0,42.

Корпоративные события

В октябре компания впервые получила высокие кредитные рейтинги от АКРА (AA(RU)) и «Эксперт РА» (ruAA). Московская биржа включила бумаги «Группы Астра» в сектор ранних инвестиций (РИИ), что даёт долгосрочным инвесторам — налоговым резидентам РФ — льготу по НДФЛ при соблюдении ряда условий.

Компания продолжает программу buyback: к концу сентября выкуплено 500 тыс. акций, а в ноябре — ещё 150 тыс. Бумаги направят на программу долгосрочной мотивации сотрудников.

Комментарий менеджмента

Заместитель гендиректора по финансам Елена Бородкина заявила, что компания адаптируется к рыночным условиям, несмотря на давление на клиентов и высокую стоимость заёмных средств. По её словам, спрос остаётся «отложенным»: многие заказчики пилотируют продукты, и по мере восстановления экономики компания ожидает роста продаж.

За девять месяцев выпущено более 65 релизов продуктов. Решения «Группы Астра» внедрены примерно у 15 тыс. клиентов.

Проекты и технологические новинки

Компании удалось расширить клиентскую базу: на форуме «Финополис» было подписано девять соглашений, включая партнёрства в сфере цифрового рубля, работы с банкоматами и развитием платежного оборудования.

Среди внедрений:

  • ALROSA протестировала Tantor Postgres на 700 одновременных пользователей;
  • структура «Росатома» использует Astra Linux для VR-тренажёров;
  • «Спортмастер» внедрил Knomary для корпоративного обучения;
  • «Губернские аптеки» перевели 1 300 сотрудников на почтовый сервер RuPost и другие решения группы.

В продуктовом портфеле появились обновления Astra Linux 1.8.3, GitFlic, ALD Pro. В облако внедрён квантовый генератор случайных чисел, а также представлен новый набор программно-аппаратных комплексов XPlatform. В ряд продуктов внедрены ИИ-механизмы: например, ассистент для анализа документов в WorksPad.

Кроме того, решения «Группы Астра» стали совместимы с продуктами IVA Technologies, Positive Technologies и «Солар».

Образовательные инициативы и награды

Компания продолжает работать с регионами по внедрению отечественного ПО в школы. На ОС Astra Linux переходят образовательные учреждения Челябинской и Амурской областей, а в Республике Алтай расширяется программа цифровизации.

«Группа Астра» также получила ряд отраслевых наград: от Smart 500 до премий за RuPost и RuBackup. Семь руководителей компании вошли в рейтинг «Топ-1000 российских менеджеров», а команда по связям с инвесторами заняла первое место в рейтинге Московской биржи.

Расширенные финансовые данные доступны в разделе «Отчёты» на сайте компании.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru