Доктор Веб предупреждает о вредоносной рассылке

Доктор Веб предупреждает о вредоносной рассылке

Доктор Веб предупреждает о вредоносной рассылке

Специалисты компании «Доктор Веб» зафиксировали рассылку спама с целым набором вредоносных модулей, позволяющих шпионить за пользователем и похищать конфиденциальную информацию.

Массовая рассылка вредоносных вложений по электронной почте — один из самых популярных методов распространения троянцев. Злоумышленники стараются составить текст сообщения таким образом, чтобы получатель самостоятельно открыл приложенный к письму файл, что приведет к заражению компьютера.

В течение последних нескольких дней по электронной почте активно распространяются сообщения с темой «Оплату произвели» от имени некоей компании ООО «Глобальные Системы». Письма содержат следующий текст (оригинальные синтаксис и орфография сохранены):

Добрый день!
Мы произвели оплату 6 апреля, но по какой то причине ответа от вас не получили.
Просим в кратчайшие сроки обработать платеж и предоставить услуги, так как у нас сроки сильно поджимают.
Копию платежки и других документов высылаем в прикрепленном архиве. 
Просьба проверить правильность указанных реквизитов в платежке. Может где то была допущена ошибка и деньги не поступили к вам на счет. В связи с этим такая задержка.
С уважением,
ООО «Глобальные Системы»

 

 

К письму прилагается архив с именем Платежка от ООО Глобальные Системы 6 апреля 2017 года.JPG.zip размером более 4 МБ. Он содержит исполняемый файл с расширением .JPG[несколько десятков пробелов].exe, добавленный в вирусную базу Dr.Web под именем Trojan.MulDrop7.24844. Если пользователь попытается открыть это «изображение», программа запустится на выполнение.

Приложение представляет собой упакованный контейнер, который создан с использованием возможностей языка Autoit. В момент старта эта программа проверяет, что она запущена в единственном экземпляре, а затем сохраняет на диск библиотеку для обхода системы контроля учетных записей пользователя (UAC, User Account Control) в 32- и 64-разрядных версиях Windows и несколько других файлов. Затем Trojan.MulDrop7.24844 регистрирует себя в автозагрузке: в Windows XP — путем модификации системного реестра, в более современных версиях Windows — при помощи Планировщика задач. Также троянец пытается извлечь и сохранить в текстовом файле пароли из браузеров Google Chrome и Mozilla Firefox, пишет news.drweb.ru.

Один из компонентов, который Trojan.MulDrop7.24844 запускает на зараженном компьютере, — приложение для удаленного администрирования, детектируемое Антивирусом Dr.Web как Program.RemoteAdmin.753.

Другой компонент троянца также представляет собой зашифрованный Autoit-контейнер с именем xservice.bin, извлекающий на диск два исполняемых файла. Эти программы являются 32- и 64-разрядной версиями утилиты Mimikatz, которая предназначена для перехвата паролей открытых сессий в Windows. Файл xservice.bin может быть запущен с различными ключами, в зависимости от которых он выполняет на инфицированном компьютере те или иные действия:

 

Ключ Описание
-help показать возможные ключи (справочная информация выводится в неопознанной кодировке)
-screen делает снимок экрана, сохраняет в файл с именем Screen(<HOURS>_<MINUTES>).jpg (где <HOURS>_<MINUTES> - текущее значение времени), выставляет файлу атрибуты «скрытый» и «системный»
-wallpaper <path> меняет обои на указанные в параметре <path>
-opencd открывает CD-привод
-closecd закрывает CD-привод
-offdesktop выводит в консоль текст "Not working =("
-ondesktop выводит в консоль текст "Not working =("
-rdp запуск RDP (см. ниже)
-getip получает IP-адрес инфицированной машины с использованием сайта ident.me
-msg <type> <title> <msg> создает диалоговое окно заданного типа (err, notice, qst, inf) с указанным заголовком и текстом
-banurl <url> добавляет в файл %windir%\System32\drivers\etc\hosts строку вида "127.0.0.1 <url>", где <url> - аргумент команды

 

Также это приложение активирует кейлоггер, записывающий в файл информацию о нажатых пользователем клавишах, и создает в момент запуска снимок экрана.

Троянец открывает злоумышленникам удаленный доступ к зараженной машине по протоколу RDP (Remote Desktop Protocol). Для этого он скачивает с сервера Github и устанавливает на инфицированном компьютере программу Rdpwrap с параметрами, обеспечивающими ее запуск в скрытом режиме. Она детектируется Антивирусом Dr.Web как Program.Rdpwrap. Затем Trojan.MulDrop7.24844 с помощью ранее сохраненной на диске утилиты Mimikatz пытается получить пароль от учетной записи текущего пользователя, который сохраняется в системном реестре. Этот пароль в дальнейшем используется для организации связи с зараженным ПК. В результате такого несанкционированного подключения злоумышленники могут получить полный контроль над атакованным компьютером.

 

Positive Technologies увеличила отгрузки до 35 млрд рублей в 2025 году

Positive Technologies (эмитент ПАО «Группа Позитив», MOEX: POSI) опубликовала предварительные итоги работы за 2025 год. По текущим управленческим данным, объём отгрузок компании составил 35 млрд рублей. Для сравнения: по итогам 2024 года этот показатель был на уровне 24,1 млрд рублей.

В компании отмечают, что темпы роста бизнеса по-прежнему примерно вдвое превышают динамику российского рынка кибербезопасности.

При этом в финальную годовую отчётность войдут только те отгрузки, которые будут фактически оплачены до конца марта 2026 года — это предусмотрено учётной политикой Positive Technologies.

С учётом увеличения доли крупных контрактов менеджмент ожидает, что объём оплаченных отгрузок, признанных в отчётности за 2025 год, составит от 32 до 34 млрд рублей. Часть сделок, по которым оплата поступит позже, будет учтена уже в результатах 2026 года.

Предварительные финансовые показатели соответствуют ранее заявленным прогнозам. Помимо роста выручки, компания в 2025 году сделала акцент на операционной эффективности и контроле расходов, удержав их в рамках запланированного бюджета. Это позволило выполнить одну из ключевых финансовых задач года — вернуть управленческую чистую прибыль (NIC) в положительную зону.

Инвестиции в исследования и разработку в течение года не сокращались и составили около 9 млрд рублей. Численность сотрудников при этом осталась на уровне середины 2024 года — компания продолжала усиливать команду, не раздувая штат.

По словам заместителя генерального директора Positive Technologies Максима Филиппова, сейчас основной фокус продаж смещён на максимизацию оплат уже выполненных отгрузок 2025 года в первом квартале, а также на формирование планов на 2026 год. По оценке менеджмента, задел по контрактам позволяет ожидать, что в 2026 году рост компании сохранится на двузначном уровне и будет как минимум вдвое опережать рынок.

В числе ключевых факторов роста в ближайшие годы компания называет вывод и масштабирование новых продуктов и сервисов, включая PT X, платформу MaxPatrol EPP и антивирусные технологии, PT NGFW и PT ISIM, а также проекты по построению результативной кибербезопасности с практикой кибериспытаний. Отдельное внимание уделяется развитию дальнего зарубежья, объёмы продаж на котором, по оценке компании, близки к тому, чтобы превзойти показатели стран СНГ.

В 2026 году Positive Technologies планирует сохранить общий объём расходов на уровне 2025 года, что в сочетании с ростом отгрузок должно приблизить компанию к целевой маржинальности по NIC на уровне 30%. Кроме того, ожидается существенное снижение долговой нагрузки уже по итогам первого квартала 2026 года.

Аудированная консолидированная финансовая и управленческая отчётность за 2025 год будет опубликована 7 апреля 2026 года.

RSS: Новости на портале Anti-Malware.ru