Danger! Вирус!

Сообщается об обнаружении новой версии печально известной шантажной программы Gpcode. Обнаруженная недавно программа Virus.Win32.Gpcode.ai при попадании на компьютер жертвы использует сложный криптографический алгоритм для шифрования личных документов и архивов пользователя, в результате чего они перестают открываться. Кроме того, в системе появляются файлы read_me.txt, в котором сообщается, что файлы пользователя были зашифрованы с использованием алгоритма RSA-4096 и на их расшифровку требуется несколько лет. Хакеры предлагают вернуть украденные данные за выкуп в 300 долларов. Вот как выглядит это послание, подписанное некой «Гламурной командой», в оригинале:
«Hello, your files are encrypted with RSA-4096 algorithm (http://en.wikipedia.org/wiki/RSA). You will need at least few years to decrypt these files without our software. All your private information for last 3 months were collected and sent to us. To decrypt your files you need to buy our software. The price is $300. To buy our software please contact us at: [email protected] and provide us your personal code -xxxxxxxxx. After successful purchase we will send your decrypting tool, and your private information will be deleted from our system. If you will not contact us until 07/15/2007 your private information will be shared and you will lost all your data. Glamorous team».
Однако на самом деле данная версия шантажной программы использует другой криптографический алгоритм, модифицированный RC4. Также ложным оказалось заявление вирусописателей о том, что личные файлы пользователей были отосланы хакерам — никакие файлы никуда не отправлялись.

Как сообщается на сайте SANS, в Интернете появились вредоносные Javascript нового типа, позволяющие оставаться незамеченными для антивирусов.
Новизна используемой техники заключается в том, что Javascript генерируется сервером динамически: при каждом новом обращении посетителя к странице все переменные и функции скрипта изменяются, принимая случайные значения. Подобная техника делает невозможным детектирование скрипта сканерами, алгоритмы поиска вирусов которых основаны на сопоставлении сигнатур.
Сообщается, что в проведенных экспериментах ни одна из протестированных антивирусных программ не смогла выявить вредоносный код. Сам код представляет собой набор эксплойтов, использующих известные уязвимости в различных приложениях.

Сразу несколько антивирусных компаний сообщили о появлении новой вредоносной программы, которая после проникновения на компьютер уничтожает на доступных накопителях все музыкальные файлы в формате МР3.

По классификации Symantec червь получил название Deletemusic. Вредоносная программа распространяется посредством флэш-накопителей и не способна размножаться через интернет. После проникновения на ПК червь создает в корневом каталоге каждого диска, в том числе подключенных флэш-брелоков, исполняемый файл csrss.exe, а также файл автозапуска autorun.inf. Кроме того, Deletemusic вносит ряд изменений в реестр операционной систем Windows, обеспечивая себе автоматический запуск при каждом включении компьютера. После заражения машины Deletemusic осуществляет поиск и удаление файлов с расширением .mp3.

Грэхем Клули, консультант по техническим вопросам Sophos, отмечает, что мотивы создателей червя пока не совсем ясны. Это позволяет предположить, что вредоносная программа, вероятнее всего, была создана подростками или начинающими киберпреступниками. Червь Deletemusic способен инфицировать компьютеры с любой из версий операционной системы Windows - начиная от Windows 95 и заканчивая Windows Vista. Впрочем, особого распространения вредоносная программа пока не получила.

Нужно отметить, что вирусы, уничтожающие мультимедийные файлы, появлялись и раньше. Так, например, в прошлом году был обнаружен троян Erazer, удаляющий МР3-композиции и видеоролики.

Эксперты по компьютерной безопасности из компании Damballa утверждают, что у сети зомбированных компьютеров Storm появился сильный конкурент. Специалисты пока затрудняются называть конкретные данные о новой бот-сети, однако убеждены, что по мощности и опасности она существенно превосходит крупнейшие сети - Storm, Rbot и Bobax.

Напомним, что червь Storm появился в начале текущего года. Вредоносная программа используется киберпреступниками с целью формирования крупной сети зомбированных компьютеров. Причем злоумышленники постоянно меняют тактику распространения трояна. Бот-сеть Storm активно используется киберпреступниками для распространения спама. Именно через эту сеть не так давно мошенники осуществили первую массовую рассылку мусорных сообщений, в которых роль рекламного объявления играл аудиофайл в формате МР3. По различным оценкам, сеть Storm в определенные моменты могла насчитывать до 50 миллионов компьютеров.

Исследователи полагают, что в настоящее время в мире действуют тысячи бот-сетей различного размера и структуры. При этом отмечается, что методика включения новых компьютеров в сети становится все более изощренной. Если раньше злоумышленники отдавали предпочтение вредоносному программному обеспечению, то теперь используются взломанные серверы и фоновая загрузка на ПК жертвы ПО, о существовании которого большинство пользователей могут не узнать никогда, сообщает DarkReading.com. За последние несколько лет масштабных "вирусных эпидемий" не наблюдается, но стремительно растёт число целенаправленных атак для кражи данных, а также распространение руткитов, подготавливающих почву для вторжений.
security.compulenta.ru

Источник_http://www.infoworld.com/

Источник_http://www.securitylab.ru/

Вредоносный спам с использованием Skype и другие октябрьские опасности в Сети

В октябре 2012 года был отмечен рост числа рассылок вредоносных программ с использованием различных средств коммуникации: так, начало месяца ознаменовалось массовым распространением сообщений с использованием программы Skype. Рассылаемые злоумышленниками послания содержали короткую ссылку, созданную с помощью сервиса goo.gl. При открытии ссылки на компьютер жертвы начиналась загрузка zip-архива, содержащего опасную троянскую программу BackDoor.IRC.NgrBot.146. Рассылку сообщений в Skype осуществляла вредоносная программа, добавленная в базы Dr.Web под именем Trojan.Spamlink.1.



Во второй половине октября активизировались злоумышленники, использующие в своих целях электронную почту. Поступавшие пользователям письма рассылались от имени интернет-магазина Amazon.com, корпорации Microsoft, почтовой службы FedEx, также были замечены массовые рассылки якобы от имени платежной системы PayPal с сообщением о переводе средств, и нескольких авиакомпаний с предложением подтвердить бронирование авиабилета. В большинстве случаев подобное сообщение содержало ссылку на веб-страницу, включающую сценарий, при выполнении которого посетитель переадресовывался на другой веб-сайт. В свою очередь этот сайт передавал браузеру файл, содержащий сценарий на языке JavaScript, при выполнении которого на компьютер пользователя загружались две вредоносные программы: широко известный троянец-загрузчик BackDoor.Andromeda.22 и вредоносная программа Trojan.Necurs.97. Рекомендуем пользователям проявлять осторожность и не переходить по ссылкам в сообщениях электронной почты, полученных из неизвестных источников.

Угрозы для Android

С точки зрения угроз для мобильной платформы Android октябрь 2012 года прошел относительно спокойно. В течение месяца вирусные базы D.Web пополнились записями для нескольких вредоносных программ семейства Android.SmsSend. Напомним, что эти троянцы представляют опасность тем, что в процессе своей работы выполняют отправку дорогостоящих СМС-сообщений и подписывают владельцев мобильных устройств на различные контент-услуги, за пользование которыми взимается определенная денежная сумма.

Также в базы была добавлена запись для троянца Android.FakeLookout.1.origin, распространявшегося в каталоге Google Play под видом некоего программного обновления. Эта вредоносная программа имела возможность красть пользовательские СМС-сообщения, а также различные файлы, находящиеся на карте памяти, и отправлять их на удаленный сервер. Несмотря на потенциальную опасность раскрытия частной информации, троянец не является серьезной угрозой для пользователей Android, т. к. на момент удаления из каталога его успели установить не более 50 человек.

Ко всему прочему, в октябре была обнаружена новая модификация вредоносной программы семейства Android.Gongfu, внесенная в вирусные базы под именем Android.Gongfu.10.origin.
Угроза месяца: Trojan.GBPBoot.1

Одной из наиболее интересных вредоносных программ, обнаруженных в октябре сотрудниками антивирусная лаборатории компании «Доктор Веб», можно назвать троянца, получившего наименование Trojan.GBPBoot.1.

С точки зрения реализуемых данной вредоносной программой функций, Trojan.GBPBoot.1 можно назвать довольно примитивным: он способен загружать с удаленных серверов и запускать на инфицированном компьютере различные исполняемые файлы. Этим его деструктивный функционал исчерпывается. Однако интересна эта вредоносная программа прежде всего тем, что имеет возможность серьезно противодействовать попыткам ее удаления.

В процессе заражения компьютера один из модулей троянца модифицирует главную загрузочную запись (MBR) на жестком диске компьютера, после чего записывает в конец подходящего раздела (вне файловой системы) модуль вирусного инсталлятора, модуль автоматического восстановления троянца, архив с файлом explorer.exe и сектор с конфигурационными данными. Сама вредоносная программа реализована в виде библиотеки, которая регистрируется на инфицированном компьютере в качестве системной службы.

В случае если по каким-либо причинам происходит удаление файла вредоносной службы (например, в результате сканирования диска антивирусной программой), срабатывает механизм самовосстановления. С использованием модифицированной троянцем загрузочной записи в момент запуска компьютера стартует процедура проверки наличия на диске файла вредоносной системной службы, при этом поддерживаются файловые системы стандартов NTFS и FAT32. В случае его отсутствия Trojan.GBPBoot.1 перезаписывает стандартный файл explorer.exe собственным, содержащим «инструмент самовосстановления», после чего он запускается одновременно с загрузкой ОС Windows. Получив управление, вредоносный экземпляр explorer.exe повторно инициирует процедуру заражения, после чего восстанавливает и запускает оригинальный explorer.exe. Таким образом, простое сканирование системы различными антивирусными программами может не привести к ожидаемому результату, поскольку троянец способен восстанавливать себя в защищаемой системе.

Другие угрозы октября

В начале октября специалистами «Доктор Веб» было зафиксировано распространение вредоносной программы Trojan.Proxy.23012, предназначенной для массовой рассылки спама. С подробной информацией об этой угрозе можно ознакомиться в соответствующей статье, опубликованной на сайте news.drweb.com.

Отдельный информационный материал был посвящен троянцу-загрузчику, активно распространявшемуся в октябре с использованием ресурсов пиринговой сети Trojan.PWS.Panda.2395. Данная вредоносная программа характеризуется весьма любопытным механизмом заражения, подробно описанным в опубликованной на сайте Dr.Web обзорной статье.

Материал взял с news.drweb.com
спасибо огромное "Докторам" за обзор

«Маска», я тебя знаю: «Лаборатория Касперского» нашла новый вирус — возможно, самый опасный в мире

Он поражает компьютеры, работающие на любой платформе, и может воровать документы, шифры и все настройки

Эксперты «Лаборатории Касперского» предупредили мир о новой угрозе. Компьютерном вирусе, который, возможно, станет самым опасным в истории. Мало того — за ним стоит глобальная сеть кибершпионажа. Не исключено, что действует она в интересах и под прикрытием государственных структур. В общем, сюжет достоин нового фильма про Джеймса Бонда.

Компания ESET предупреждает, что за последнее время зафиксирована повышенная активность и опасность заражения корпоративной сети вредоносной программой, последствиями действий которой является:

1) Шифрование конфиденциальной информации и файлов, в том числе базы данных 1С, документов, изображений. Тип зашифрованных файлов зависит от конкретной модификации шифратора. Процесс шифрования выполняется согласно сложным алгоритмам и в каждом случае шифрование происходит по определённой закономерности. Таким образом, зашифрованные данные сложно восстановить.

2) В некоторых случаях, после выполнения вредоносных действий шифратор автоматически удаляется с компьютера, что затрудняет процедуру подбора дешифратора.

После выполнения вредоносных действий на экране зараженного компьютера появляется окно с информацией «Ваши файлы зашифрованы», а также требования вымогателей, которые необходимо выполнить для получения дешифратора.

Пример вируса-шифратора

Как правило, перед заражением, на электронную почту пользователя приходит письмо с неизвестного адреса с приложенным к письму архивом (*.rar, *.zip, *.cab), документом со встроенными макросами (*.doc, *.docx), либо скриптом (*.js). В теме письма говорится о чем-то важном – информации о задолженности, взысканию долга и тому подобное. В архив может быть вложено два файла, например, файлы «порядок работы с просроченной задолженностью.doc» и «постановление суда.exe». После запуска вредоносных файлов вирус начинает выполнять шифрование файлов в фоновом режиме, что может быть незамеченно пользователем. Вирус зашифровывает файлы различных типов, например *.doc, *.jpg, *.pdf и зачастую файлы базы данных 1С. К зашифрованным файлам добавляется произвольное расширение. После окончании процесса шифрования, на экране появляется изображение с требованием вымогателей, а сам вирус, в некоторых случаях, бесследно удаляется с компьютера.

С целью предотвращения заражения данным видом угрозы, необходимо убедиться в том, что Ваша система соответствует указанным ниже требованиям безопасности. При условии соблюдения данных правил, вероятность заражения шифратором будет минимальна.

Требования безопасности, предъявляемые к серверам и рабочим станциям для снижения риска заражения шифратором (Filecoder)

1) Убедитесь в том, что на данный момент на Вашем компьютере включены настройки автоматических обновлений операционной системы и установлены все критические обновления. Злоумышленники могут использовать уязвимость в протоколе удаленного рабочего стола (RDP) для выполнения вредоносных действий. Наиболее серьезная из этих уязвимостей делает возможным удаленное выполнение кода, если злоумышленник отправляет уязвимой системе последовательность специально созданных пакетов RDP. По умолчанию протокол удаленного рабочего стола отключен во всех операционных системах Windows. Системы, на которых не включен RDP, не подвержены данной уязвимости. Мы настоятельно рекомендуем закрыть доступ по RDP из вне, и разрешить подключения по RDP только в пределах локальной сети. Некоторые из обновлений для устранения описанной выше уязвимости можно скачать отдельным пакетом по данной ссылке.

2) Используйте антивирусные решения со встроенным модулем файервола (ESET NOD32 Smart Security) для снижения вероятности использования злоумышленником уязвимости в RDP даже при условии отсутствия необходимых обновлений операционной системы.

3) На почтовом сервере следует запретить приём и передачу исполняемых файлов *.exe, а также *.js, так как зачастую шифраторы рассылаются злоумышленниками в виде вложения в электронное письмо с вымышленной информацией о взыскании задолженности, информации о ней и другим подобным содержанием, которое может побудить пользователя открыть вредоносное вложение из письма от злоумышленника и тем самым запустить шифратор.

4) Запретите выполнение макросов во всех приложениях, входящих в состав Microsoft Office, либо аналогичном ПО сторонних производителей. Макросы могут содержать команду для загрузки и выполнения вредоносного кода, которая запускается при обычном просмотре документа (например, открытие документа с названием «Уведомление о взыскании задолженности.doc» из письма от злоумышленников может привести к заражению системы даже в том случае, если сервер не пропустил вредоносное вложение с исполняемым файлом шифратора при условии, если Вы не отключили выполнение макросов в настройке офисных программ).

5) Регулярно осуществляйте Backup (резервное копирование) важной информации, хранящейся на Вашем компьютере. Начиная с ОС Windows Vista в состав операционных систем Windows входит служба защиты системы на всех дисках, которая создаёт резервные копии файлов и папок во время архивации или создания точки восстановления системы. По умолчанию эта служба включена только для системного раздела. Рекомендуется включить данную функцию для всех разделов.

Что делать, если заражение уже произошло?

В случае, если Вы стали жертвой злоумышленников и Ваши файлы зашифрованы, не спешите переводить деньги на их счет для подбора дешифратора. При условии, что Вы являетесь нашим клиентом, обратитесь в техническую поддержку, возможно, нам удастся подобрать дешифратор для Вашего случая или такой дешифратор уже имеется. Для этого необходимо добавить в архив образец шифратора и других подозрительных файлов, если таковые имеются, и отправить данный архив нам с помощью специальной формы. Также вложите в архив несколько образцов зашифрованных файлов. В комментариях укажите обстоятельства, при которых произошло заражение, а также Ваши лицензионные данные и контактный e-mail для обратной связи.

Так как в противоправных действиях злоумышленников могут присутствовать признаки преступлений, предусмотренных ст. ст. 159.6, 163, 165, 272, 273 УК РФ, в случае заражения вирусом семейства FileCoder мы рекомендуем обратиться с заявлением в полицию.

При этом, Ваш компьютер может быть изъят на некоторое время для проведения экспертизы.

Для получения дополнительной информации обратитесь в службу технической поддержки ESET.
ESET Technical Support

От недумающего пользователя никакая защита не спасёт...