Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim проверяет MAC-адреса в попытке обойти виртуальные машины

Троян Nymaim взял на вооружение новую функцию. Теперь, для того, чтобы проверить, работает ли он в виртуальной среде, вредонос сравнивает MAC-адреса. Об этом предупреждают исследователи в области безопасности SophosLabs.

Этот троян часто используется для загрузки дополнительных вредоносных программ на зараженные компьютеры, также он был замечен в нескольких кампаниях по распространению вымогателей. Теперь же вредонос сравнивает MAC-адрес зараженного им устройства со своим закодированным список, что позволяет ему избежать виртуальных сред и сорвать инструменты анализа.

Исследователь Sandor Nemes из SophosLabs объясняет, что новый функционал Nymaim помогает ему избежать антивирусных песочниц. Такое поведение трояна наблюдалось в образцах, используемых в кампании, ориентированной в основном на немецких пользователей.

Nymaim был обнаруженв 2013 году и представляет собой даунлоадер (downloader). Недавно он объединился с банковским трояном Gozi, так возникло новое семейство вредоносных программ под названием GozNym. Однако первоначальная версия Nymaim все еще продолжает использоваться в качестве загрузчика различных других угроз.

Недавно обнаруженные образцы имеют жестко прописанную дату окончания срока действия, по истечению которой угроза перестает работать должным образом. Троян отличается наличием различных уловок, например, чтобы пользователь запустил его, зловред выводит сообщение с надписью «Невозможно открыть PDF в браузере» (Cannot view a PDF in a web browser), затем загружает графическую библиотеку DirectDraw и безуспешно пытаться загрузить несуществующий DLL-файл.

Также было замечено, что Nymaim вычисляет хэш каждого файла в папке C:\Windows и сверяет его с черным списком хэшей, кроме этого, он запрашивает версию BIOS и проверяет реестр Windows, содержатся ли в нем записи "VBOX" или "VirtualBox". Чтобы извлечь MAC-адрес, Nymaim вызывает UuidCreateSequential API, который генерирует универсальный уникальный идентификатор (UUID), используя текущее время и MAC-адрес сетевой карты. Таким образом, вредоносная программа может сравнить первые три байта MAC-адреса со своим списком, чтобы определить, работает ли она в виртуальной среде.

Nymaim также использует исполняемые файлы с расширением .com, предположительно, это делается для обхода детекта антивирусными программами.

Роскачество предупреждает о новой схеме обмана школьников перед ЕГЭ

Роскачество предупредило о новой двухэтапной схеме обмана школьников, сдающих единый госэкзамен (ЕГЭ). Сначала выпускникам за деньги обещают подобрать персональные задания, а за несколько дней до экзамена сообщают, что сделать это не удалось, и предлагают пройти экспресс-подготовку — тоже платно.

В итоге мошенники получают деньги дважды, а школьники рискуют остаться неподготовленными за считаные дни до экзамена. О новой схеме, связанной с обещаниями успешной сдачи ЕГЭ, сообщило РИА Новости со ссылкой на Центр цифровой экспертизы Роскачества.

Главная опасность заключается в том, что выпускники, надеясь «купить» баллы, перестают готовиться и могут прийти на экзамен без необходимых знаний.

На первом этапе злоумышленники предлагают выпускнику «пакет гарантированной страховки». Он якобы включает персонализированный вариант контрольно-измерительных материалов (КИМ), а ответы обещают прислать на телефон, который нужно будет пронести на экзамен. Стоимость такого пакета составляет около 1,5–2 тыс. рублей.

Однако за сутки до экзамена жертва получает видеоинструкцию, в которой сообщается, что Рособрнадзор ужесточил контроль, поэтому передавать настоящие ответы сейчас слишком рискованно. Вместо этого выпускнику предлагают пройти экспресс-курсы уже за 5 тыс. рублей. Там якобы дают методики быстрого запоминания и навыки решения типовых задач. При согласии мошенники отправляют «пустышку» или решения заданий прошлых лет.

«Злоумышленники не просто продают фальшивые ответы, а используют психологию, чтобы заработать при этом дважды. В преддверии экзаменов в Сети активизировались группы, предлагающие не просто "сливы", а "персональный подбор ключей" к вариантам КИМ», — отмечают эксперты Роскачества.

Во время досрочного этапа ЕГЭ, который проходил с 20 марта по 20 апреля, было выявлено четыре нарушителя из 2200 сдававших. Один из них пытался списывать, и его обнаружили с помощью средств видеоаналитики.

RSS: Новости на портале Anti-Malware.ru