Троянец BackDoor.Dande атаковал сети аптек и фармацевтических компаний

Троянец BackDoor.Dande атаковал сети аптек и фармацевтических компаний

Троянец BackDoor.Dande атаковал сети аптек и фармацевтических компаний

Специалисты компании «Доктор Веб» раскрывают новые детали расследования атаки троянца BackDoor.Dande на сети аптек и фармацевтических компаний. Вирусные аналитики установили, что бэкдор не только загружался на целевые рабочие станции компонентом приложения ePrica, но и был встроен в одну из ранних версий установщика этой программы.

Об атаке троянца BackDoor.Dande на фармацевтические компании и аптеки компания «Доктор Веб» впервые сообщила в 2011 году. Этот бэкдор похищал у пользователей систем электронного заказа информацию о закупках медикаментов. Такие программы применяются в фармацевтической отрасли, поэтому распространение вредоносного приложения носило узкоспециализированный характер. Наши специалисты уже на протяжении нескольких лет изучают этот бэкдор и его методы заражения компьютеров.

Недавние результаты исследования показали, что троянца скачивал и запускал в целевых системах один из компонентов приложения ePrica, которое используют руководители аптек для анализа цен на лекарства и выбора наиболее подходящих поставщиков. Этот модуль загружал с сервера «Спарго Технологии» установщик BackDoor.Dande, который и запускал бэкдор на атакуемых компьютерах. При этом указанный модуль имел цифровую подпись «Спарго», пишет drweb.ru.

Дальнейший анализ приложения показал, что компоненты BackDoor.Dande были встроены непосредственно в одну из ранних версий инсталлятора ePrica, что может свидетельствовать о серьезном подрыве систем безопасности разработчика данного ПО. Программа ePrica имеет плагины .nlb и .emd, которые представляют собой зашифрованные приватным ключом динамические dll-библиотеки. Среди них присутствует установщик бэкдора, а также модули для сбора информации о закупках медикаментов, которые получают необходимые сведения из баз данных аптечных программ. При этом один из них использовался для копирования информации о закупках фармацевтических препаратов из баз данных программы 1C.

Старт этих плагинов выполняет модуль runmod.exe, который при получении команды сервера расшифровывает и запускает их в памяти. После этого они копируют информацию из баз данных, которая затем передается на удаленный сервер. Указанный компонент приложения подписан сертификатом «Протек» — группы компаний, в которую входит разработчик ePrica «Спарго Технологии».

 

 

Важно отметить, что даже после удаления ПО ePrica бэкдор оставался в системе и продолжал шпионить за пользователями. Существует вероятность того, что на компьютерах пользователей, удаливших ПО ePrica, до сих пор присутствует BackDoor.Dande.

Установщик ePrica версии 4.0.14.6, в котором были найдены троянские модули, был выпущен 18 ноября 2013 года, в то время как некоторые файлы бэкдора в нем датированы еще далеким 2010 годом. Таким образом, копирование информации о закупках аптек и фармацевтических компаний могло начаться как минимум за год до первого обнаружения бэкдора.

Мосгорсуд отменил запрет ЯПлакалъ

Мосгорсуд отменил запрет сайтов «ЯПлакалъ», «АнекдотовСтрит» и «Анекдотов.net». Суд вышестоящей инстанции удовлетворил апелляции, поданные Роскомнадзором и первым заместителем прокурора Москвы. Первоначальное решение было вынесено по обращению межрайонной прокуратуры.

Ресурсы обвинялись в распространении материалов, унижающих человеческое достоинство, а также направленных на разжигание национальной и расовой розни.

Чертановский суд Москвы вынес решение о запрете трёх ресурсов ещё 23 апреля, однако обнародовано оно было только 6 мая.

Это решение вызвало широкий резонанс. Руководство «ЯПлакалъ» в комментарии для «Газеты.Ru» заявило, что никаких претензий от властей к площадке не поступало, а сам запрет там встретили «с недоумением».

Роскомнадзор, однако, обратил внимание, что в решении суда не были указаны конкретные материалы и их сетевые адреса, содержащие незаконный контент. В результате ведомство не включило эти ресурсы в реестр запрещённых материалов, и сайты продолжили открываться. Кроме того, сетевой адрес «Анекдотов.net» в решении суда был указан с ошибкой.

Сегодня РИА Новости со ссылкой на источники сообщило, что прокуратура Москвы внесла апелляционное представление на решение Чертановского суда о запрете сайтов. По данным источника Lenta.ru в судебной системе, также не удалось обнаружить заключения экспертизы, на основании которого было принято решение о запрете ресурсов.

Позднее Мосгорсуд удовлетворил апелляции первого заместителя прокурора Москвы и Роскомнадзора, отменив решение Чертановского районного суда:

«Судебной коллегией по административным делам Московского городского суда решение суда первой инстанции отменено и принято новое решение, которым Чертановскому межрайонному прокурору в удовлетворении исковых требований отказано».

RSS: Новости на портале Anti-Malware.ru