Троянец BackDoor.Dande атаковал сети аптек и фармацевтических компаний

Троянец BackDoor.Dande атаковал сети аптек и фармацевтических компаний

Троянец BackDoor.Dande атаковал сети аптек и фармацевтических компаний

Специалисты компании «Доктор Веб» раскрывают новые детали расследования атаки троянца BackDoor.Dande на сети аптек и фармацевтических компаний. Вирусные аналитики установили, что бэкдор не только загружался на целевые рабочие станции компонентом приложения ePrica, но и был встроен в одну из ранних версий установщика этой программы.

Об атаке троянца BackDoor.Dande на фармацевтические компании и аптеки компания «Доктор Веб» впервые сообщила в 2011 году. Этот бэкдор похищал у пользователей систем электронного заказа информацию о закупках медикаментов. Такие программы применяются в фармацевтической отрасли, поэтому распространение вредоносного приложения носило узкоспециализированный характер. Наши специалисты уже на протяжении нескольких лет изучают этот бэкдор и его методы заражения компьютеров.

Недавние результаты исследования показали, что троянца скачивал и запускал в целевых системах один из компонентов приложения ePrica, которое используют руководители аптек для анализа цен на лекарства и выбора наиболее подходящих поставщиков. Этот модуль загружал с сервера «Спарго Технологии» установщик BackDoor.Dande, который и запускал бэкдор на атакуемых компьютерах. При этом указанный модуль имел цифровую подпись «Спарго», пишет drweb.ru.

Дальнейший анализ приложения показал, что компоненты BackDoor.Dande были встроены непосредственно в одну из ранних версий инсталлятора ePrica, что может свидетельствовать о серьезном подрыве систем безопасности разработчика данного ПО. Программа ePrica имеет плагины .nlb и .emd, которые представляют собой зашифрованные приватным ключом динамические dll-библиотеки. Среди них присутствует установщик бэкдора, а также модули для сбора информации о закупках медикаментов, которые получают необходимые сведения из баз данных аптечных программ. При этом один из них использовался для копирования информации о закупках фармацевтических препаратов из баз данных программы 1C.

Старт этих плагинов выполняет модуль runmod.exe, который при получении команды сервера расшифровывает и запускает их в памяти. После этого они копируют информацию из баз данных, которая затем передается на удаленный сервер. Указанный компонент приложения подписан сертификатом «Протек» — группы компаний, в которую входит разработчик ePrica «Спарго Технологии».

 

 

Важно отметить, что даже после удаления ПО ePrica бэкдор оставался в системе и продолжал шпионить за пользователями. Существует вероятность того, что на компьютерах пользователей, удаливших ПО ePrica, до сих пор присутствует BackDoor.Dande.

Установщик ePrica версии 4.0.14.6, в котором были найдены троянские модули, был выпущен 18 ноября 2013 года, в то время как некоторые файлы бэкдора в нем датированы еще далеким 2010 годом. Таким образом, копирование информации о закупках аптек и фармацевтических компаний могло начаться как минимум за год до первого обнаружения бэкдора.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники зовут россиян на фальшивые свидания через сайты-двойники

В России появился новый вариант старой схемы FakeDate — теперь аферисты зовут жертв не только в кино или на стендап, но и в музеи, оперу и даже на романтические прогулки на лошадях. Об этом сообщили аналитики компании F6, которая фиксирует рост активности мошенников перед новогодними праздниками.

По данным F6, злоумышленники создают сайты-двойники популярных билетных сервисов, предлагая купить билеты на несуществующие мероприятия. Всего выявлено не менее семи скам-групп, а три из них с начала 2025 года уже похитили у россиян более 330 миллионов рублей.

Сценарий обмана начинается стандартно. Мошенник под видом привлекательной девушки размещает анкету на сайте знакомств или в телеграм-чате. Для убедительности он использует реальные фотографии, обработанные нейросетью, а иногда — голосовые и видеосообщения от подставных моделей.

После короткого общения «девушка» предлагает сходить на свидание и присылает ссылку на покупку билетов.

Сайт, на который попадает пользователь, выглядит почти как настоящий: там можно выбрать дату, место и оплатить «билеты». После оплаты сценарий всегда один — «партнёрша» либо исчезает, либо пишет, что встреча отменяется и предлагает оформить возврат, в ходе которого с карты списывают деньги ещё раз.

В F6 отмечают, что помимо денег жертвы теряют и личные данные — имя, номер телефона, почту и банковскую информацию, которые потом могут использовать для новых атак.

По словам аналитика компании Вячеслава Судакова, за последние месяцы количество подобных схем растёт, а пик активности приходится на праздники — в декабре, феврале и марте.

«Мошенничество с фальшивыми свиданиями — простой и доходный бизнес. Все инструменты для него уже автоматизированы, поэтому новичку достаточно следовать инструкции», — добавляет эксперт.

Напомним, ранее мы писали, что мошенники заработали на фальшивых свиданиях почти 10 млн рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru