Бэкдор атакует жителей России, Великобритании, Испании и США

Бэкдор атакует жителей России, Великобритании, Испании и США

Бэкдор атакует жителей России, Великобритании, Испании и США

Компания «Доктор Веб» обнаружила бэкдор, устанавливающий на атакуемый компьютер в целях шпионажа легальные компоненты TeamViewer. Троянец, получивший наименование BackDoor.TeamViewerENT.1, имеет самоназвание Spy-Agent (так называется административный интерфейс его системы управления).

Злоумышленники развивают этих троянцев с 2011 года и регулярно выпускают их новые версии. Об одной из них мы и расскажем в этом материале.

Как и схожий с ним по архитектуре троянец BackDoor.TeamViewer.49, этот бэкдор состоит из нескольких модулей. Однако если предшественник задействовал компоненты популярной программы удаленного администрирования компьютера TeamViewer только для того, чтобы загрузить в память атакуемой машины вредоносную библиотеку, то BackDoor.TeamViewerENT.1 использует их именно для шпионажа, пишет news.drweb.ru.

Основные вредоносные функции троянца сосредоточены в библиотеке avicap32.dll, а параметры его работы хранятся в зашифрованном конфигурационном блоке. Помимо специально созданной злоумышленниками вредоносной библиотеки троянец сохраняет на диск атакуемой машины необходимые для работы программы TeamViewer файлы и папки, а также несколько дополнительных файлов-модулей.

Если приложение в ОС Microsoft Windows требует для своей работы загрузку динамической библиотеки, система сначала пытается найти файл с таким именем в той же папке, откуда была запущена программа, и лишь потом — в системных папках Windows. Этим и воспользовались вирусописатели: приложению TeamViewer действительно необходима стандартная библиотека avicap32.dll, которая по умолчанию хранится в одной из системных директорий Windows. Но троянец сохраняет вредоносную библиотеку с таким же именем прямо в папку с легитимным исполняемым файлом TeamViewer, в результате чего система загружает в память троянскую библиотеку вместо настоящей.

После запуска BackDoor.TeamViewerENT.1 отключает показ ошибок для процесса TeamViewer, устанавливает атрибуты «системный», «скрытый» и «только для чтения» своим собственным файлам и файлам этой программы, а затем перехватывает в памяти процесса TeamViewer вызовы функций этого приложения и ряда системных функций. Если для нормальной работы TeamViewer на атакованном компьютере не хватает каких-либо файлов или компонентов, троянец скачивает их со своего управляющего сервера. Помимо этого, если BackDoor.TeamViewerENT.1обнаруживает попытку запуска программ «Диспетчер задач Windows» и Process Explorer, он завершает работу процесса TeamViewer на зараженной машине. Подключившись к управляющему серверу, бэкдор может выполнять следующие команды злоумышленников:

  • перезагрузить ПК;
  • выключить ПК;
  • удалить TeamViewer;
  • перезапустить TeamViewer;
  • начать прослушивание звука с микрофона;
  • завершить прослушивание звука с микрофона;
  • определить наличие веб-камеры;
  • начать просмотр через веб-камеру;
  • завершить просмотр через веб-камеру;
  • скачать файл, сохранить его во временную папку и запустить;
  • обновить конфигурационный файл или файл бэкдора;
  • подключиться к указанному удаленному узлу, после чего запустить cmd.exe с перенаправлением ввода-вывода на удаленный хост.

Очевидно, что эти команды открывают перед злоумышленниками широкие возможности для шпионажа за пользователями инфицированных компьютеров, включая похищение конфиденциальной информации. В частности, известно, что с помощью этого троянца киберпреступники устанавливали на инфицированные компьютеры вредоносные программы семейств Trojan.Keylogger и Trojan.PWS.Stealer. Вирусные аналитики компании «Доктор Веб» провели исследование, в ходе которого удалось выяснить, что злоумышленники в разное время атакуют в основном жителей ряда определенных стран и регионов. Так, в июле с использованием BackDoor.TeamViewerENT.1 киберпреступники атаковали жителей Европы, среди которых больше всего насчитывалось резидентов Великобритании и Испании, а в августе переключились на резидентов США.

BI.ZONE ZTNA получил поддержку Android

BI.ZONE обновила решение BI.ZONE ZTNA для удалённого доступа к корпоративным ресурсам. Главное изменение новой версии — появилась поддержка Android. Теперь сотрудники могут подключаться к внутренним сервисам компании со смартфонов и планшетов на этой ОС, в том числе вне офиса, в поездках и командировках.

Приложение для Android доступно в RuStore. При необходимости его также можно распространять напрямую в виде установочного файла.

Кроме мобильной поддержки, в BI.ZONE ZTNA расширили настройки политик доступа. Теперь при подключении можно учитывать больше параметров: регион по IP-адресу, характеристики устройства, учётную запись пользователя, его роль и принадлежность к корпоративным группам, включая группы Active Directory.

Это позволяет гибче разграничивать доступ к ресурсам. Например, для подключения из офиса, из привычной домашней сети, из командировки или из нетипичного региона можно задавать разные правила. Такой подход связан с политиками IDFW, где доступ определяется не только по сетевым параметрам, но и по данным о пользователях и группах.

Ещё одно изменение касается устойчивости сетевой части. В решении появилось резервирование узлов доступа: один узел работает как основной, второй остаётся в резерве и подключается при сбое. Через эти узлы проходит доступ пользователей к корпоративной сети, поэтому такая схема должна снижать риск простоя удалённого подключения.

Также в новой версии переработали первичную настройку. В BI.ZONE ZTNA добавили пошаговый мастер, который проводит администратора через основные этапы конфигурирования: настройку узлов доступа, пулов IP-адресов, параметров туннеля, аутентификации, MFA, одноразовых кодов, виртуальных хостов и профилей подключения.

По словам руководителя BI.ZONE ZTNA Ивана Рогалева, обновление связано с практическими задачами эксплуатации удалённого доступа: мобильными подключениями, более точными политиками, резервированием сетевой части и упрощением первоначального развёртывания.

RSS: Новости на портале Anti-Malware.ru