Информационные технологии для успешной работы
25 лет на рынке информационных технологий
Екатеринбург
+7 (343) 222-1С-1С
222-12-12, 222-16-16

Новости компании "Доктор Веб"


Новости компании «Доктор Веб»


27.07.2017
«Доктор Веб»: предустановленный на Android-устройствах троянец заражает процессы приложений и скачивает вредоносные модули

27 июля 2017 года

Вирусные аналитики компании «Доктор Веб» обнаружили вредоносную программу, встроенную в прошивку нескольких мобильных устройств под управлением ОС Android. Троянец, получивший имя Android.Triada.231, внедрен в одну из системных библиотек. Он проникает в процессы всех работающих приложений и способен незаметно скачивать и запускать дополнительные модули.

Троянцы семейства Android.Triada внедряются в системный процесс компонента ОС Android под названием Zygote, который отвечает за старт программ на мобильных устройствах. Благодаря заражению Zygote они встраиваются в процессы всех работающих приложений, получают их полномочия и функционируют с ними как единое целое. После этого они незаметно скачивают и запускают различные вредоносные модули.

В отличие от других представителей этого семейства, которые для выполнения вредоносных действий пытаются получить root-привилегии, обнаруженный вирусными аналитиками «Доктор Веб» троянец Android.Triada.231 встроен в системную библиотеку libandroid_runtime.so. Ее модифицированная версия была найдена сразу на нескольких мобильных устройствах, среди которых Leagoo M5 Plus, Leagoo M8, Nomu S10 и Nomu S20. Библиотека libandroid_runtime.so используется всеми Android-приложениями, поэтому вредоносный код в зараженной системе присутствует в памяти всех запускаемых приложений.

Внедрение Android.Triada.231 в эту библиотеку было выполнено на уровне исходного кода. Можно предположить, что к распространению троянца причастны инсайдеры либо недобросовестные партнеры, которые участвовали в создании прошивок зараженных мобильных устройств.

Android.Triada.231 встроен в libandroid_runtime.so таким образом, что он получает управление каждый раз, когда любое приложение на устройстве выполняет запись в системный журнал. Поскольку служба Zygote начинает работу раньше других программ, первоначальный запуск троянца происходит именно через нее.

screenshot Android.Triada.231 #drweb

После инициализации вредоносная программа выполняет предварительную настройку ряда параметров, создает рабочий каталог и проверяет, в каком окружении она работает. Если троянец функционирует в среде Dalvik, он перехватывает один из системных методов, что позволяет ему отслеживать старт всех приложений и начинать вредоносную деятельность сразу после их старта.

Основная функция Android.Triada.231 — незаметный запуск дополнительных вредоносных модулей, которые могут загружать другие компоненты троянца. Для их запуска Android.Triada.231 проверяет наличие в созданной им ранее рабочей директории специального подкаталога. Его имя должно содержать значение MD5 имени программного пакета приложения, в процесс которого внедрился троянец. Если Android.Triada.231 находит такой каталог, он ищет в нем файл 32.mmd или 64.mmd (для 32- и 64-битных версий операционной системы соответственно). При наличии такого файла троянец расшифровывает его, сохраняет под именем libcnfgp.so, после чего загружает его в оперативную память с использованием одного из системных методов и удаляет расшифрованный файл с устройства. Если же вредоносная программа не находит нужный объект, она ищет файл 36.jmd. Android.Triada.231 расшифровывает его, сохраняет под именем mms-core.jar, запускает при помощи класса DexClassLoader, после чего также удаляет созданную копию.

В результате Android.Triada.231 способен внедрять самые разнообразные троянские модули в процессы любых программ и влиять на их работу. Например, вирусописатели могут отдать троянцу команду на скачивание и запуск вредоносных плагинов для кражи конфиденциальной информации из банковских приложений, модулей для кибершпионажа и перехвата переписки из клиентов социальных сетей и интернет-мессенджеров и т. п.

Кроме того, Android.Triada.231 может извлекать из библиотеки libandroid_runtime.so троянский модуль Android.Triada.194.origin, который хранится в ней в зашифрованном виде. Его основная функция — загрузка из Интернета дополнительных вредоносных компонентов, а также обеспечение их взаимодействия друг с другом.

Поскольку Android.Triada.231 встроен в одну из библиотек операционной системы и расположен в системном разделе, удаление его стандартными методами невозможно. Единственным надежным и безопасным способом борьбы с этим троянцем является установка заведомо чистой прошивки ОС Android. Специалисты «Доктор Веб» уведомили производителей скомпрометированных смартфонов об имеющейся проблеме, поэтому пользователям рекомендуется установить все возможные обновления, которые будут выпущены для таких устройств.

Подробнее о троянце

Защитите ваше Android-устройство с помощью Dr.Web

Купить онлайн Купить через Google Play Бесплатно


24.07.2017
Два года защиты Dr.Web по цене одного

24 июля 2017 года

Компания «Доктор Веб» и интернет-магазин программного обеспечения Allsoft проводят акцию для российских и белорусских пользователей: с 24 по 31 июля при покупке годовой лицензии на Dr.Web Security Space для одного или двух ПК/Mac срок действия комплексной антивирусной защиты будет бесплатно увеличен в два раза.

Приглашаем пользователей в России и Беларуси принять участие в выгодной акции: только с 24 по 31 июля каждый купивший годовую лицензию Dr.Web Security Space для одного или двух ПК/Mac в интернет-магазине «Доктор Веб» или на сайтах allsoft.ru и allsoft.by получит вместо одного целых два года комплексной антивирусной защиты. Приятным подарком к лицензии с увеличенным вдвое сроком действия будут два года бесплатной защиты мобильных устройств под управлением Android или BlackBerry по числу защищаемых систем в купленной лицензии.

Акционные лицензии подходят для продления как электронных, так и коробочных продуктов Dr.Web Security Space и Антивирус Dr.Web. Если при регистрации купленной лицензии вы укажете серийный номер предыдущего продукта или его ключевой файл, срок действия новой лицензии будет увеличен на 150 дней. Если лицензия куплена для продления нескольких лицензий с разными сроками действия, при активации акционного серийного номера необходимо указать серийный номер или ключевой файл только одной вашей лицензии, выбрав ту, срок действия которой заканчивается позже всех других.

Покупатели, которые воспользуются данным предложением, получат один серийный номер для защиты оплаченного числа ПК/Мас, а также Dr.Web-ки за регистрацию в программе лояльности «Я + Dr.Web».

Не упустите возможность сэкономить на антивирусной защите и приобрести два года защиты Dr.Web по цене одного!

Купить Dr.Web


24.07.2017
«Доктор Веб»: похищающий информацию о закупках медикаментов троянец BackDoor.Dande распространялся в инсталляторе ПО для фармацевтов ePrica

24 июля 2017 года

Специалисты компании «Доктор Веб» раскрывают новые детали расследования атаки троянца BackDoor.Dande на сети аптек и фармацевтических компаний. Вирусные аналитики установили, что бэкдор не только загружался на целевые рабочие станции компонентом приложения ePrica, но и был встроен в одну из ранних версий установщика этой программы.

Об атаке троянца BackDoor.Dande на фармацевтические компании и аптеки компания «Доктор Веб» впервые сообщила в 2011 году. Этот бэкдор похищал у пользователей систем электронного заказа информацию о закупках медикаментов. Такие программы применяются в фармацевтической отрасли, поэтому распространение вредоносного приложения носило узкоспециализированный характер. Наши специалисты уже на протяжении нескольких лет изучают этот бэкдор и его методы заражения компьютеров.

Недавние результаты исследования показали, что троянца скачивал и запускал в целевых системах один из компонентов приложения ePrica, которое используют руководители аптек для анализа цен на лекарства и выбора наиболее подходящих поставщиков. Этот модуль загружал с сервера «Спарго Технологии» установщик BackDoor.Dande, который и запускал бэкдор на атакуемых компьютерах. При этом указанный модуль имел цифровую подпись «Спарго».

Дальнейший анализ приложения показал, что компоненты BackDoor.Dande были встроены непосредственно в одну из ранних версий инсталлятора ePrica, что может свидетельствовать о серьезном подрыве систем безопасности разработчика данного ПО. Программа ePrica имеет плагины .nlb и .emd, которые представляют собой зашифрованные приватным ключом динамические dll-библиотеки. Среди них присутствует установщик бэкдора, а также модули для сбора информации о закупках медикаментов, которые получают необходимые сведения из баз данных аптечных программ. При этом один из них использовался для копирования информации о закупках фармацевтических препаратов из баз данных программы 1C.

Старт этих плагинов выполняет модуль runmod.exe, который при получении команды сервера расшифровывает и запускает их в памяти. После этого они копируют информацию из баз данных, которая затем передается на удаленный сервер. Указанный компонент приложения подписан сертификатом «Протек» — группы компаний, в которую входит разработчик ePrica «Спарго Технологии».

#drweb

Важно отметить, что даже после удаления ПО ePrica бэкдор оставался в системе и продолжал шпионить за пользователями. Существует вероятность того, что на компьютерах пользователей, удаливших ПО ePrica, до сих пор присутствует BackDoor.Dande.

Установщик ePrica версии 4.0.14.6, в котором были найдены троянские модули, был выпущен 18 ноября 2013 года, в то время как некоторые файлы бэкдора в нем датированы еще далеким 2010 годом. Таким образом, копирование информации о закупках аптек и фармацевтических компаний могло начаться как минимум за год до первого обнаружения бэкдора.

Более подробная информация об установщике ePrica с троянцем BackDoor.Dande доступна в нашей вирусной библиотеке.

Подробнее о программе ePrica


24.07.2017
Обновление компонентов в продуктах Dr.Web 11.0 для Windows, лечащей утилите Dr.Web CureNet!, Dr.Web KATANA 1.0, Dr.Web Enterprise Security Suite 10.0 и 10.1, Dr.Web 11.0 для MS Exchange, Dr.Web 11.0 для Microsoft ISA Server и Forefront TMG, Dr.Web 11.0 для IBM Lotus Domino и Dr.Web AV-Desk 10.0

24 июля 2017 года

Компания «Доктор Веб» сообщает об обновлении сканирующего сервиса Dr.Web Scanning Engine (11.1.11.201707030), антируткитного модуля Dr.Web Anti-rootkit API (11.1.11.201707030), и модуля Dr.Web for Outlook Plugin (11.0.3.201706220) в ряде продуктов Dr.Web. Обновление связано с внесением внутренних изменений.

В сканирующий сервис внесены изменения, направленные на повышение стабильности работы компонента.

В антируткитном модуле Dr.Web Anti-rootkit API был доработан механизм лечения системных модулей.

В плагине Dr.Web for Outlook Plugin, входящем в состав продуктов Dr.Web для Windows, Dr.Web Enterprise Security Suite и Dr.Web AV-Desk, устранена проблема, при которой после перезапуска процесса dwantispam.exe могла не работать проверка на спам, а также оптимизирована загрузка плагина на старте Microsoft Outlook.

Кроме того, для Dr.Web Enterprise Security Suite 10.0 и 10.1 устранена причина ложного срабатывания Превентивной защиты при совместной работе с программными продуктами Infowatch.

Обновление пройдет автоматически, однако потребует перезагрузки компьютеров.


19.07.2017
«Доктор Веб»: опасный Android-банкер получает контроль над мобильными устройствами

19 июля 2017 года

Вирусные аналитики компании «Доктор Веб» исследовали многофункционального банковского троянца Android.BankBot.211.origin, который вынуждает пользователей предоставить ему доступ к специальным возможностям (Accessibility Service). С их помощью вредоносная программа управляет мобильными устройствами и крадет конфиденциальную информацию клиентов кредитно-финансовых организаций. В самом начале наблюдения троянец атаковал только жителей Турции, однако вскоре список его целей расширился, и теперь он угрожает пользователям десятков стран.

Android.BankBot.211.origin распространяется под видом безобидных приложений, например, проигрывателя Adobe Flash Player. После того как пользователь устанавливает и запускает троянца, банкер пытается получить доступ к специальным возможностям (Accessibility Service). Для этого Android.BankBot.211.origin показывает окно с запросом, которое при каждом его закрытии появляется вновь и не дает работать с устройством.

#drweb #drweb

Режим специальных возможностей упрощает работу с Android-смартфонами и планшетами и применяется в том числе для помощи пользователям с ограниченными возможностями. Он позволяет программам самостоятельно нажимать на различные элементы интерфейса, такие как кнопки в диалоговых окнах и системных меню. Вынудив пользователя предоставить троянцу эти полномочия, Android.BankBot.211.origin с их помощью самостоятельно добавляется в список администраторов устройства, устанавливает себя менеджером сообщений по умолчанию и получает доступ к функциям захвата изображения с экрана. Все эти действия сопровождаются показом системных запросов, которые можно вовсе не заметить, т. к. вредоносная программа мгновенно подтверждает их. Если же владелец устройства в дальнейшем пытается отключить какую-либо из полученных Android.BankBot.211.origin функций, банкер не позволяет это сделать и возвращает пользователя в предыдущие системные меню.

После успешного заражения троянец подключается к управляющему серверу, регистрирует на нем мобильное устройство и ожидает дальнейших команд. Android.BankBot.211.origin способен выполнять следующие действия:

  • отправлять СМС с заданным текстом на указанный в команде номер;
  • передавать на сервер сведения об СМС, которые хранятся в памяти устройства;
  • загружать на сервер информацию об установленных приложениях, список контактов и сведения о телефонных вызовах;
  • открывать заданную в команде ссылку;
  • изменять адрес командного центра.

Кроме того, вредоносная программа отслеживает все входящие СМС и также передает их киберпреступникам.

Помимо стандартных команд, злоумышленники могут отправлять троянцу специальные директивы. В них в зашифрованном виде содержится информация о приложениях, которые банкеру необходимо атаковать. При получении таких команд Android.BankBot.211.origin может:

  • показывать поддельные формы ввода логина и пароля поверх запускаемых банковских программ;
  • отображать фишинговое окно настроек платежного сервиса с запросом ввода информации о банковской карте (например, при работе с программой Google Play);
  • блокировать работу антивирусов и других приложений, которые могут помешать троянцу.

Android.BankBot.211.origin может атаковать пользователей любых приложений. Киберпреступникам достаточно лишь обновить конфигурационный файл со списком целевых программ, который банкер получает при соединении с управляющим сервером. Например, в начале наблюдения за троянцем вирусописателей интересовали только клиенты кредитных организаций Турции, однако позднее к ним добавились жители других стран, среди которых Германия, Австралия, Польша, Франция, Англия и США. На момент публикации этого материала в списке атакуемых троянцем программ содержится более 50 приложений, предназначенных для работы с платежными системами и ДБО, а также другое ПО.

Ниже представлены примеры мошеннических окон, которые может показывать Android.BankBot.211.origin:

#drweb #drweb #drweb
#drweb #drweb #drweb

Троянец также собирает информацию обо всех запускаемых приложениях и действиях, которые пользователь в них выполняет. Например, он отслеживает доступные текстовые поля, такие как элементы меню, а также фиксирует нажатия на кнопки и другие компоненты пользовательского интерфейса.

Кроме того, Android.BankBot.211.origin способен похищать логины, пароли и другую аутентификационную информацию, которую пользователь вводит в любых программах и на любых сайтах при авторизации. Для кражи паролей троянец делает скриншот при каждом нажатии клавиатуры, в результате чего он получает необходимую последовательность символов до того, как они будут скрыты. После этого информация, которая указывается в видимых полях, и все сохраненные скриншоты передаются на управляющий сервер.

#drweb

Так как Android.BankBot.211.origin препятствует собственному удалению, для борьбы с ним необходимо выполнить следующие действия:

  • загрузить зараженный смартфон или планшет в безопасном режиме;
  • зайти в системные настройки и перейти к списку администраторов устройства;
  • найти троянца в этом списке и отозвать у него соответствующие права (при этом вредоносная программа попытается напугать владельца устройства, предупредив о неизбежной потере всех важных данных, однако это лишь уловка, и никакой опасности для файлов нет);
  • перезагрузить устройство, выполнить его полное сканирование антивирусом и удалить троянца после окончания проверки.

Все известные модификации Android.BankBot.211.origin детектируются антивирусом Dr.Web, поэтому для наших пользователей этот банкер опасности не представляет.

Подробнее о троянце


Интернет-магазин Получите консультацию
у специалиста отдела продаж
Купить антивирус Dr.WEB Заявка на консультацию
  +7 (343) 222-12-12
soft@asp-1c.ru
616-104-035


* Услуги по продаже системного ПО оказывает ООО «АСП - Центр дистрибьюции»

Интернет-магазин
Купить антивирус Dr.WEB


Получите консультацию
у специалиста отдела продаж
Заявка на консультацию
+7 (343) 222-12-12
soft@asp-1c.ru
616-104-035

Живая лента отзывов

Более 11000 клиентов выбрали АСП, 1070 оставили свой отзыв на сайте, присоединяйтесь!

посмотреть все

Нам доверяют

Мотив 4 канал УЗГА Медиасайт Bright Fit золотой город
2017, «АСП» Тел./факс: +7 (343) 222-1С-1С (222-12-12, 222-16-16)
Наш адрес: г. Екатеринбург, ул. Щорса 7
Бизнес-центр «Парковый» (2 этаж)