Поисковая выдача пиратского CCleaner Pro в Google распространяет троян

Поисковая выдача пиратского CCleaner Pro в Google распространяет троян

Поисковая выдача пиратского CCleaner Pro в Google распространяет троян

Вредоносная программа, пытающаяся добраться до паролей, данных банковских карт и криптовалютных кошельков, распространяется через поисковую выдачу, рекламирующую пиратскую версию софта CCleaner Pro для Windows.

Специалисты антивирусной компании Avast, анализировавшие эту киберпреступную активность, назвали кампанию “FakeCrack“. В среднем число ежедневных заражений, по статистике исследователей, составляет 10 тысяч.

Данные телеметрии, полученные от клиентов Avast, показали, что большая часть жертв находится во Франции, Бразилии, Индонезии и Индии. Распространяемый вредонос представляет собой программу для кражи персональных данных, которая также может перенаправлять веб-трафик.

Стоящие за FakeCrack киберпреступники используют хорошо известные методы продвижения в поисковой выдаче Google, которые гарантируют, что вредоносные ссылки попадут на первые места. Желающие бесплатно скачать CCleaner Professional пользователи в итоге оказываются на злонамеренных сайтах, которые впаривают им исполняемый файл вредоноса.

 

Исполняемый файл подаётся в ZIP-архиве и загружается, как правило, с легитимных хостинговых платформ вроде filesend.jp или mediafire.com. Архив защищён простым паролем — «1234», чтобы избежать детектирования антивирусами.

Специалисты Avast отметили восемь разных исполняемых файлов, встречающихся в таких архивах. Два наиболее популярных имени — “setup.exe” и “cracksetup.exe”. Попав в систему, зловред пытается вытащить данные из браузера Google Chrome, среди которых могут быть логины и пароли.

«Атакующие настроили IP-адрес на загрузку вредоносного скрипта Proxy Auto-Configuration (PAC). Каждый раз, когда жертва посещает один из указанных доменов, её трафик перенаправляется на прокси-сервер, находящийся под контролем злоумышленников», — пишет Avast в отчёте.

Эта функциональность добавляется с помощью ключа реестра — HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings. Жертвы могут отключить прокси в настройках Windows, пройдя в раздел « Сеть и Интернет».

Мошенники начали звонить от имени соседей и звать в чат про бомбоубежище

Мошенники снова поймали тревожную тему и собрали из неё новую схему. Теперь они звонят людям якобы от имени соседей и сообщают о срочном собрании жильцов по поводу оборудования бомбоубежища в доме.

Об этом пишет телеграм-канал «Лапша Медиа» совместно с авторским каналом Александра Ельшевского «Без обмана».

Звонящий представляется соседом, говорит о важном собрании жильцов и предлагает добавить человека в общий чат. Дальше начинается классика: вместо обсуждения реального вопроса мошенник быстро переходит к личным данным, просит назвать имя, телефон или другую информацию.

Также жертву убеждают, что без вступления в чат и попадания в списки на собрание якобы не получится.

Главный подвох в том, что жильцы дома не могут просто голосованием решить вопрос о создании бомбоубежища. Такие объекты создаются по государственным требованиям и нормам безопасности.

Поэтому срочное соседское собрание, на которое почему-то нельзя попасть без передачи данных незнакомцу по телефону, уже само по себе пахнет не инициативой жильцов, а разводом.

Если человек продолжит разговор, дальше может начаться второй этап схемы. Позже ему могут позвонить уже якобы сотрудники госорганов и заявить, что его данные попали к мошенникам. После этого жертву начнут подталкивать к переводам денег или другим действиям.

Распознать схему несложно: собеседник избегает личной встречи, настаивает на телефонном разговоре, быстро уводит тему к вашим данным и требует вступить в неизвестный чат. В таком случае лучший ответ — закончить разговор.

Личные данные незнакомцам по телефону сообщать не стоит. Если звонящий правда сосед, вопрос можно обсудить лично.

RSS: Новости на портале Anti-Malware.ru