Вредоносный плагин для Google Chrome детектируется антивирусом Dr.Web под именем Trojan.BPlug.1074. Если пользователь Chrome, у которого установлен этот плагин, войдет в социальную сеть Facebook, Trojan.BPlug.1074 определяет его идентификатор и вносит изменения в оформление сайта социальной сети в окне браузера: удаляет меню «Быстрые настройки конфиденциальности», открывающееся нажатием на кнопку в верхней правой части окна Facebook, а также все остальные выпадающие меню, которые могут демонстрироваться в интерфейсе социальной сети. Затем троянец получает перечень друзей жертвы.

После этого Trojan.BPlug.1074 автоматически создает новую страницу сообщества, название которой генерируется автоматически. С использованием идентификатора сообщества, фотографии жертвы, установленной в качестве аватара, и адреса веб-страницы, извлекаемого из конфигурационного файла, троянец формирует пост формата «поделиться ссылкой» и с определенным временным интервалом размещает его в своей ленте. Поскольку троянец при создании поста «упоминает» в нем всех друзей текущего пользователя из полученного ранее списка, это сообщение также появляется в их ленте событий.

При переходе по ссылке, указанной в таком сообщении, пользователь Facebook попадает на веб-страницу, копирующую внешний вид этой социальной сети (если переход осуществляется с какого-либо другого сайта, посетитель перенаправляется на пустую веб-страницу). На странице размещается якобы стандартный компонент видеопроигрывателя. Если посетитель использует браузер Chrome, при попытке просмотреть этот видеоролик на экране появится диалоговое окно, в котором ему будет предложено загрузить и установить плагин для браузера. Этот плагин также является копией троянца Trojan.BPlug.1074.

Вирусные аналитики компании «Доктор Веб» выяснили, что к 28 апреля 2016 года вредонос Trojan.BPlug.1074 был загружен и установлен пользователями Facebook более чем 12 тыс. раз. Специалисты рекомендуют пользователям проявлять осмотрительность и не устанавливать расширения к браузеру, даже если их предлагает загрузить такой популярный сайт, как Facebook.

Очередной бэкдор, обнаруженный вирусными аналитиками компании «Доктор Веб» в феврале, обладает целым рядом интересных особенностей, которые выделяют его среди аналогичных троянцев.

Вредоносная программа, получившая наименование BackDoor.Andromeda.1407, распространяется с помощью другого троянца-загрузчика — Trojan.Sathurbot.1, также известного под именем Hydra. Основное предназначение BackDoor.Andromeda.1407 заключается в выполнении поступающих от злоумышленников команд, в том числе скачивания и установки других вирусов.

В настоящий момент вирусным аналитикам компании «Доктор Веб» известно о том, что BackDoor.Andromeda.1407 загружает и запускает на инфицированных компьютерах такие вредоносные приложения как троянец-шифровальщик Trojan.Encoder.3905, банковский троянец Trojan.PWS.Panda.2401, троянцы Trojan.Click3.15886, BackDoor.Siggen.60436, Trojan.DownLoader19.26835 и многие другие.

Особенность бэкдора является то, что в ходе своей работы он пытается получить ряд сведений об инфицированной машине, в том числе определить разрядность ОС, ее версию, права текущего пользователя и, наконец, настроенные на атакованном компьютере раскладки клавиатуры. Если бэкдору удается обнаружить наличие в Windows русской, украинской, белорусской или казахской национальной раскладки, он завершается и автоматически удаляется из системы.

В феврале 2016 года специалисты компании «Доктор Веб» выявили целый комплект вредоносных программ для ОС Android, обладающих широчайшим спектром функциональных возможностей. Он состоит из трех действующих совместно троянцев, получивших наименования Android.Loki.1.origin, Android.Loki.2.origin и Android.Loki.3 соответственно.

Android.Loki.1.origin представляет собой службу, обладающую широким набором функций: например, троянец может скачать из официального каталога Google Play любое приложение с помощью специальной ссылки, содержащей указание на учетную запись той или иной партнерской программы, благодаря чему злоумышленники получают возможность извлекать доход. Среди других возможностей Android.Loki.1.origin — установка и удаление приложений; их включение и отключение; демонстрация уведомлений и т.д.

Android.Loki.2.origin — предназначен для установки на зараженное устройство различных приложений по команде с управляющего сервера, а также для демонстрации рекламы. Однако обладает этот троянец и шпионскими функциями — при запуске он собирает и отправляет злоумышленникам информацию об устройстве. Также по команде киберпреступников Android.Loki.2.origin отсылает на управляющий сервер сведения об установленных приложениях, истории браузера, списке звонков, контакты пользователя и т.п.

Наконец, Android.Loki.3 реализует на инфицированном устройстве две функции: внедряет библиотеку liblokih.so в процесс системной службы system_server и позволяет выполнять команды от имени суперпользователя (root), которые поступают от других троянцев семейства Android.Loki.

Поскольку троянцы семейства Android.Loki размещают часть своих компонентов в системных папках ОС Android, к которым у антивирусной программы нет доступа, при обнаружении на устройстве любой из таких вредоносных программ самый оптимальный способ ликвидировать последствия заражения – перепрошивка устройства с использованием оригинального образа ОС.

Админам веб-серверов, которые оказались заражены появившейся недавно первой программой-вымогателем для Linux, повезло: в компании Bitdefender обнаружили в ней уязвимость, позволившую выяснить ключи, с помощью которых она шифрует файлы.

Вымогатель был обнаружен специалистами Dr. Web, которые назвали его Linux.Encoder.1. Способ заражения не выяснен; вероятно — через эксплойты для веб-приложений. Вредонос обходит файловую систему, шифруя по алгоритму AES домашний каталог пользователя, а также каталоги сервера MySQL, журналов операций и другие, плюс файлы с определенными расширениями. В каждом каталоге он оставляет сообщение о том, как за выкуп получить ключ для расшифровки.

В AES один и тот же ключ используется для кодирования и декодирования, а сам он шифруется по RSA — алгоритму с открытым ключом. Пара ключей RSA для Linux.Encoder.1 генерируется на сервере атакующих. При грамотной реализации расшифровка без получения закрытого ключа от вымогателей была бы невозможной, но в Bitdefender выяснили, что для AES вредонос использует слабый источник случайных данных — дату и время на момент операции шифрования. Поэтому исследователям удалось выяснить ключ AES без их расшифровки. В компании разработали инструмент декодирования «захваченных в заложники» файлов в форме скрипта на Python.

Компания «Доктор Веб» предупредила пользователей о распространении троянца-шифровальщика, способного заражать операционные системы семейства Linux. Специалисты компании «Доктор Веб» предполагают, что его жертвами стали по меньшей мере десятки пользователей.

После запуска с правами администратора Linux.Encoder.1 загружает файлы с требованиями вирусописателей и файл, содержащий путь до публичного RSA-ключа, после чего запускает себя как демон и удаляет исходные файлы. Данный RSA-ключ в дальнейшем используется для хранения AES-ключей, с помощью которых троянец шифрует файлы на зараженном компьютере.

В первую очередь Linux.Encoder.1 шифрует все файлы в домашних каталогах пользователей и каталогах, относящихся к администрированию веб-сайтов. После этого шифровальщик рекурсивно обходит всю файловую систему. При этом шифруются файлы с расширениями из заданного списка и только при условии, что имя каталога начинается с одной из заданных вирусописателями строк.

В каждом каталоге, содержащем зашифрованные файлы, троянец размещает файл с требованиями вирусописателей: жертве предлагают оплатить расшифровку файлов с помощью криптовалюты Bitcoin.

Специалисты антивирусной компании «Доктор Веб» обнаружили троянца, угрожающего в том числе и любителям одного из популярных отечественных сериалов, причем данная вредоносная программа маскируется под антивирусную утилиту известного разработчика.

Троянец, получивший наименование Trojan.BPLug.1041, был обнаружен при переходе из результатов поиска Google на взломанную злоумышленниками веб-страницу отечественного телеканала, посвященную одному из популярных российских телесериалов. Позже выяснилось, что компрометации подверглось еще несколько посещаемых интернет-ресурсов, в том числе связанных с телевизионными шоу.

Если пользователь переходит на зараженный сайт с другого домена, а также при соблюдении ряда условий (использование 32-битной операционной системы семейства Windows или системы семейства Mac OS X с архитектурой Intel и браузера, отличного от Opera), вредоносный скрипт открывает на вкладке, откуда был осуществлен переход, страницу злоумышленников. Встроенный в код этой веб-страницы специальный обработчик не позволяет закрыть данную вкладку, при нажатии клавиш или щелчке мышью демонстрируя на экране назойливое окно, предлагающее пользователю установить некое расширение для браузера. При этом злоумышленники выдают данное расширение за утилиту, якобы созданную «Лабораторией Касперского», предупредили в «Докторе Вебе».

Премьер-министр Украины Арсений Яценюк поручил безотлагательно прекратить использование программного обеспечения «Лаборатории Касперского» в органах власти, говорится в сообщении на сайте кабинета министров Украины.

Государственной службе специальной связи и защиты информации Украины поручено безотлагательно отключить обновление программы, ее приобретение и использование в органах государственной власти.

Под санкции также попал другой российский производитель программного обеспечения — «Доктор Веб».

Поскольку Trojan.BtcMine.737 обладает способностью к самостоятельному распространению по локальной сети, он может представлять опасность для компьютеров, не защищенных антивирусными программами, предупреждают антивирусные эксперты.

По своей внутренней архитектуре Trojan.BtcMine.737 напоминает матрешку, состоящую из трех вложенных друг в друга установщиков, созданных злоумышленниками с использованием технологии Nullsoft Scriptable Install System (NSIS). Первый установщик пытается остановить процессы Trojan.BtcMine.737, если ранее они уже были запущены в системе, а затем извлекает из своего тела и помещает во временную папку исполняемый файл другого установщика, запускает его, а исходный файл удаляет.

Второй установщик обладает чуть более широкими возможностями, похожими на функционал сетевого червя. В первую очередь он сохраняет в одной из папок на диске атакованного компьютера и запускает исполняемый файл CNminer.exe, который также представляет собой NSIS-установщик, затем создает собственную копию в папке автозагрузки, в папке «Документы» пользователя Windows и во вновь созданной на диске директории, к которой автоматически открывает доступ из локальной сети.

Программа CNminer.exe, которую Trojan.BtcMine.737 сохраняет на диск на втором этапе своей установки, является установщиком утилиты для добычи криптовалюты.

Затем троянец копирует себя в корневую папку всех дисков инфицированной машины, перечисляет доступные в сетевом окружении компьютеры и пытается подключиться к ним, перебирая логины и пароли с использованием имеющегося в его распоряжении специального списка. Помимо этого, вредоносная программа пытается подобрать пароль к локальной учетной записи пользователя Windows. Если это удается, Trojan.BtcMine.737 при наличии соответствующего оборудования запускает на инфицированном компьютере открытую точку доступа Wi-Fi. В случае получения доступа к одному из компьютеров в локальной сети, предпринимается попытка сохранить и запустить на нем копию троянца.