Обнаружен троянец с функциями антивируса

1174
Doctor Web Logo

Специалисты компании «Доктор Веб» завершили исследование сложного многокомпонентного троянца Trojan.Tofsee, обладающего широким спектром возможностей. Основное назначение этого троянца — рассылка спама, однако, среди заложенных в него функций есть весьма необычная: один из модулей Trojan.Tofsee предназначен для удаления на инфицированном компьютере других троянцев и вредоносных программ.

Порой пользователи пренебрегают необходимостью установки на своем компьютере антивирусного программного обеспечения, и в результате многие из них становятся жертвами распространителей вредоносных программ. Можно сказать, что в этом отношении чуть больше других повезло разве что пользователям, компьютеры которых заразились многокомпонентным троянцем Trojan.Tofsee — помимо рассылки спама он умеет «лечить» систему от других угроз, причем справляется с этой задачей на удивление успешно.

Распространяется Trojan.Tofsee несколькими различными способами: с помощью программы Skype, через социальные сети и съемные накопители. В первом случае злоумышленники используют в своих целях классические методы социальной инженерии, а именно, пытаются ввести потенциальную жертву в заблуждение, сообщив ей о том, что в сети якобы опубликованы шокирующие фотографии или видеозаписи с ее участием.

Отвечает за распространение Trojan.Tofsee через социальные сети Twitter, Facebook и «ВКонтакте», а также через программу Skype специальный модуль, который троянец скачивает с сервера злоумышленников. Отправляемые сообщения строятся по шаблону, который передается в конфигурационном файле. Сообщения пользователям социальных сетей отсылаются с учетом используемого ими национального языка.

В тексте сообщения приводится ссылка на страницу, где потенциальная жертва якобы может ознакомиться с компрометирующими ее видеозаписями или фотографиями. Однако для просмотра этого контента пользователю предлагается загрузить плагин для браузера, под видом которого и распространяется Trojan.Tofsee.

Для отправки сообщений на сайты Twitter, Facebook и «ВКонтакте» вредоносный модуль использует данные сессии из файлов cookies браузеров Microsoft Internet Explorer, Mozilla Firefox, Opera, Safari, Google Chrome. В программу Skype сообщения отсылаются с помощью нажатия кнопок в окне самого приложения. Модуль также умеет распознавать защиту captcha на сайте социальной сети Facebook — для этого она отправляется на сервер, где распознается, после чего троянец получает текст для ввода в соответствующую экранную форму.

Другой модуль позволяет троянцу распространяться с помощью съемных flash-накопителей. Здесь вирусописатели тоже решили не изобретать велосипед и пошли традиционным путём: модуль сохраняет исполняемый файл Trojan.Tofsee в Корзине, а в корневой папке съемного накопителя создает файл автозапуска autorun.inf. Заражение выполняется по команде с управляющего сервера.

Еще один модуль позволяет осуществлять обновление ядра троянца Trojan.Tofsee с принадлежащего злоумышленникам сервера. Для этого используется специальный конфигурационный файл, содержащий необходимые для выполнения этой процедуры параметры. Если один из параметров не указан, вместо обновления троянец загружает с командного сервера вот такую любопытную картинку:

Однако наибольший интерес с точки зрения своего функционального назначения представляет модуль, предназначенный для поиска и удаления на инфицированном компьютере всех обнаруженных троянцев и других вредоносных программ (за исключением, разумеется, самого Trojan.Tofsee). Этот плагин может искать на диске файлы по заданному списку, а также записи в системном реестре Windows, перечислять запущенные процессы и удалять обнаруженные опасные файлы. Таким образом, даже если на компьютере жертвы не установлена антивирусная программа, Trojan.Tofsee «заботится» о его безопасности.

Основное назначение Trojan.Tofsee — это рассылка спама, при этом тексты отправляемых писем формируются с помощью специальных шаблонов, которые троянец скачивает с сервера злоумышленников. Функции для работы с сетью и протоколом SMTP реализованы в основном модуле Trojan.Tofsee. После успешного подключения к управляющему серверу тот отсылает троянцу ключи для расшифровки данных. Затем троянец передает на командный сервер данные о себе и получает от него задание, содержащее команды для последующего выполнения. Любопытно, что для создания отправляемых писем троянец использует собственный скриптовый язык, что само по себе является большой редкостью в мире вредоносного программного обеспечения.

В настоящий момент Trojan.Tofsee может загружать с удаленных серверов 17 подключаемых модулей, реализованных в виде динамических библиотек. Помимо уже описанных выше, другие модули, которые использует в своей работе Trojan.Tofsee, имеют следующее функциональное назначение:

  • модуль для проверки правильности адресов удаленных узлов, передаваемых ему в виде блока конфигурационных данных;
  • плагин для реализации DDoS-атак. Способен реализовывать два вида атак: http flood и syn flood;
  • модуль, представляющий собой зашифрованный Trojan.PWS.Pony.5;
  • модуль для журналирования данных браузера Microsoft Internet Explorer. Извлекает из своего тела и встраивает в процесс браузера библиотеку IEStub.dll, управляется отдельным конфигурационным файлом;
  • модуль для работы с графическими файлами, который загружает изображения в специальные структуры для дальнейшей работы других плагинов;
  • модуль, который извлекает почтовые адреса из Internet Account Manager и PStoreCreateInstance, формирует адрес отправителя в виде %NAMEPC%@mail.ru и пытается отправить сообщения по созданному списку;
  • плагин, загружающий предназначенного для добычи криптовалюты Bitcoin троянца Trojan.BtcMine.148. Он устанавливает Trojan.BtcMine.148 в системе и передает ему необходимые параметры при запуске;
  • модуль, который устанавливает в папку system32\drivers\ вредоносную программу Trojan.Siggen.18257 в виде файла со случайным именем и расширением .sys, после чего запускает его;
  • модуль, реализующий функции http- и socks5-прокси;
  • модуль, предназначенный для формирования и рассылки почтовых сообщений; Использует встроенный скриптовый язык для формирования сообщений и рассылает их по протоколу HTTPS. SSL-шифрование реализовано посредством Microsoft Unified Security Protocol Provider;
  • библиотека для перехвата и анализа трафика на низком уровне, использует для этого специальный драйвер. Ищет в потоке данных информацию, передаваемую по протоколам FTP и SMTP, может подменять адреса и тело сообщений;
  • плагин, обрабатывающий конфигурационные шаблоны и соответствующим образом формирующий их в памяти;
  • модуль, в котором реализован скриптовый язык для создания рассылаемых троянцем писем.

18 июня 2014 Г.

23:55

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

Тестирование мобильных APU Ryzen показывает, что они вполне могут составить конкуренцию CPU Intel поколения Kaby Lake Refresh: APU Ryzen 7 2700U сравнили с CPU Core i7-8550U1

Беспроводная мышь Microsoft Surface Precision Mouse оценивается в 100 долларов: Microsoft представила мышку Surface Precision Mouse17

Apple делает доступной для разработчиков третьи бета-версии tvOS 11.1 и watchOS 4.1: Операционные системы tvOS 11 и watchOS 4 были выпущены месяц назад22

Представлены ноутбуки Microsoft Surface Book 2. Старшая модель оснащается видеокартой GeForce GTX 1060 и весит 1,9 кг: Ноутбук Microsoft Surface Book 2 доступен в двух модификациях41

Появились первые изображения видеокарты Gigabyte GeForce GTX 1070 Ti : Gigabyte GeForce GTX 1070 Ti G1 Gaming будет полной копией модели GTX 1070 G1 Gaming 8G (rev.2.0)3

Представлен ZTE Axon M — складной смартфон с двумя экранами, одной камерой и массой 230 г: ZTE представила складной смартфон Axon M7

В ноутбуке HP Envy x360 15-bq101na используется APU AMD Raven Ridge: HP Envy x360 15-bq101na оснащен APU Ryzen 5 2500U11

Оказывается, смартфоны Pixel 2 содержат процессор обработки изображений Pixel Visual Core собственной разработки Google: Процессор обработки изображений Pixel Visual Core имеет производительность 3 TFLOPS10

Линейка смартфонов Samsung Galaxy J пополнилась моделями J7+ и J7 Core: Samsung Galaxy J7+ получил сдвоенную камеру11

997
1318

iXBT TV

  • Планшеты для подводного чтения, дешевый безрамочный смартфон и автономная VR-гарнитура

  • Обзор 3D-принтера Funtastique Evo: дешевая, но вполне функциональная DIY-модель

  • Обзор робота-пылесоса Polaris PVCR 0920WV Rufer с функцией влажной протирки полов

  • Новинки Google на любой вкус: Pixel 2, Pixel 2 XL, Pixelbook, Clip, Home Mini и Max

  • Обзор водонепроницаемого бинокля Canon 10x42L IS WP с оптическим стабилизатором

  • Обзор компактного вертикального пылесоса Kitfort КТ-525

  • Обзор 15-дюймового игрового ноутбука MSI GE63VR 7RF Raider 4K с 4K-экраном

  • Ракета вместо самолета, умные AC Amazon, робот-мяч

  • Обзор парогенератора MIE Stiro Pro для глажки, отпаривания и уборки дома

  • Обзор изогнутого 37,5-дюймового IPS-монитора Acer XR382CQK с соотношением сторон 21:9

  • Обзор робота-полотера Everybot RS500

  • Гарнитура 8K VR, беспроводная революция, Яндекс в каждое авто

1212

Календарь

июнь
Пн
Вт
Ср
Чт
Пт
Сб
Вс

Рекомендуем почитать