Обнаружен троянец с функциями антивируса

ПредыдущаяСледующая
Doctor Web Logo

Специалисты компании «Доктор Веб» завершили исследование сложного многокомпонентного троянца Trojan.Tofsee, обладающего широким спектром возможностей. Основное назначение этого троянца — рассылка спама, однако, среди заложенных в него функций есть весьма необычная: один из модулей Trojan.Tofsee предназначен для удаления на инфицированном компьютере других троянцев и вредоносных программ.

Порой пользователи пренебрегают необходимостью установки на своем компьютере антивирусного программного обеспечения, и в результате многие из них становятся жертвами распространителей вредоносных программ. Можно сказать, что в этом отношении чуть больше других повезло разве что пользователям, компьютеры которых заразились многокомпонентным троянцем Trojan.Tofsee — помимо рассылки спама он умеет «лечить» систему от других угроз, причем справляется с этой задачей на удивление успешно.

Распространяется Trojan.Tofsee несколькими различными способами: с помощью программы Skype, через социальные сети и съемные накопители. В первом случае злоумышленники используют в своих целях классические методы социальной инженерии, а именно, пытаются ввести потенциальную жертву в заблуждение, сообщив ей о том, что в сети якобы опубликованы шокирующие фотографии или видеозаписи с ее участием.

Отвечает за распространение Trojan.Tofsee через социальные сети Twitter, Facebook и «ВКонтакте», а также через программу Skype специальный модуль, который троянец скачивает с сервера злоумышленников. Отправляемые сообщения строятся по шаблону, который передается в конфигурационном файле. Сообщения пользователям социальных сетей отсылаются с учетом используемого ими национального языка.

В тексте сообщения приводится ссылка на страницу, где потенциальная жертва якобы может ознакомиться с компрометирующими ее видеозаписями или фотографиями. Однако для просмотра этого контента пользователю предлагается загрузить плагин для браузера, под видом которого и распространяется Trojan.Tofsee.

Для отправки сообщений на сайты Twitter, Facebook и «ВКонтакте» вредоносный модуль использует данные сессии из файлов cookies браузеров Microsoft Internet Explorer, Mozilla Firefox, Opera, Safari, Google Chrome. В программу Skype сообщения отсылаются с помощью нажатия кнопок в окне самого приложения. Модуль также умеет распознавать защиту captcha на сайте социальной сети Facebook — для этого она отправляется на сервер, где распознается, после чего троянец получает текст для ввода в соответствующую экранную форму.

Другой модуль позволяет троянцу распространяться с помощью съемных flash-накопителей. Здесь вирусописатели тоже решили не изобретать велосипед и пошли традиционным путём: модуль сохраняет исполняемый файл Trojan.Tofsee в Корзине, а в корневой папке съемного накопителя создает файл автозапуска autorun.inf. Заражение выполняется по команде с управляющего сервера.

Еще один модуль позволяет осуществлять обновление ядра троянца Trojan.Tofsee с принадлежащего злоумышленникам сервера. Для этого используется специальный конфигурационный файл, содержащий необходимые для выполнения этой процедуры параметры. Если один из параметров не указан, вместо обновления троянец загружает с командного сервера вот такую любопытную картинку:

Однако наибольший интерес с точки зрения своего функционального назначения представляет модуль, предназначенный для поиска и удаления на инфицированном компьютере всех обнаруженных троянцев и других вредоносных программ (за исключением, разумеется, самого Trojan.Tofsee). Этот плагин может искать на диске файлы по заданному списку, а также записи в системном реестре Windows, перечислять запущенные процессы и удалять обнаруженные опасные файлы. Таким образом, даже если на компьютере жертвы не установлена антивирусная программа, Trojan.Tofsee «заботится» о его безопасности.

Основное назначение Trojan.Tofsee — это рассылка спама, при этом тексты отправляемых писем формируются с помощью специальных шаблонов, которые троянец скачивает с сервера злоумышленников. Функции для работы с сетью и протоколом SMTP реализованы в основном модуле Trojan.Tofsee. После успешного подключения к управляющему серверу тот отсылает троянцу ключи для расшифровки данных. Затем троянец передает на командный сервер данные о себе и получает от него задание, содержащее команды для последующего выполнения. Любопытно, что для создания отправляемых писем троянец использует собственный скриптовый язык, что само по себе является большой редкостью в мире вредоносного программного обеспечения.

В настоящий момент Trojan.Tofsee может загружать с удаленных серверов 17 подключаемых модулей, реализованных в виде динамических библиотек. Помимо уже описанных выше, другие модули, которые использует в своей работе Trojan.Tofsee, имеют следующее функциональное назначение:

  • модуль для проверки правильности адресов удаленных узлов, передаваемых ему в виде блока конфигурационных данных;
  • плагин для реализации DDoS-атак. Способен реализовывать два вида атак: http flood и syn flood;
  • модуль, представляющий собой зашифрованный Trojan.PWS.Pony.5;
  • модуль для журналирования данных браузера Microsoft Internet Explorer. Извлекает из своего тела и встраивает в процесс браузера библиотеку IEStub.dll, управляется отдельным конфигурационным файлом;
  • модуль для работы с графическими файлами, который загружает изображения в специальные структуры для дальнейшей работы других плагинов;
  • модуль, который извлекает почтовые адреса из Internet Account Manager и PStoreCreateInstance, формирует адрес отправителя в виде %NAMEPC%@mail.ru и пытается отправить сообщения по созданному списку;
  • плагин, загружающий предназначенного для добычи криптовалюты Bitcoin троянца Trojan.BtcMine.148. Он устанавливает Trojan.BtcMine.148 в системе и передает ему необходимые параметры при запуске;
  • модуль, который устанавливает в папку system32\drivers\ вредоносную программу Trojan.Siggen.18257 в виде файла со случайным именем и расширением .sys, после чего запускает его;
  • модуль, реализующий функции http- и socks5-прокси;
  • модуль, предназначенный для формирования и рассылки почтовых сообщений; Использует встроенный скриптовый язык для формирования сообщений и рассылает их по протоколу HTTPS. SSL-шифрование реализовано посредством Microsoft Unified Security Protocol Provider;
  • библиотека для перехвата и анализа трафика на низком уровне, использует для этого специальный драйвер. Ищет в потоке данных информацию, передаваемую по протоколам FTP и SMTP, может подменять адреса и тело сообщений;
  • плагин, обрабатывающий конфигурационные шаблоны и соответствующим образом формирующий их в памяти;
  • модуль, в котором реализован скриптовый язык для создания рассылаемых троянцем писем.

18 июня 2014 Г.

23:55

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

Переводить Ирландии 13 млрд евро компания Apple будет с марта по сентябрь текущего года: Apple будет переводить Ирландии деньги до сентября 3

В Австралии двое утопающих были спасены посредством дрона: Дроны в Австралии помогут спасать людей5

В прошлом году в мире на мобильные приложения было потрачено 86 млрд долларов: Среднестатистический пользователь проводит в мобильных приложениях 43 дня в году6

Moto Folio — самый доступный модуль для смартфонов Moto Z: Модуль Moto Folio является чехлом-книжкой4

Iiyama XB2779QQS — 27-дюймовый монитор 5K стоимостью 800 евро: Монитор Iiyama XB2779QQS получил 27-дюймовую панель 5K15

Samsung и LG договорились о поставке гораздо большего количества телевизионных ЖК-панелей: LG поставит Samsung 1 млн телевизионных панелей 13

Частота процессора AMD Ryzen 5 2600 будет на 200 МГц выше, чем у Ryzen 5 1600: CPU Ryzen 5 2600 получит небольшую прибавку к частотам 32

Рынок технологий умных городов будет расти на 11% в год: К 2026 году рынок технологий умных городов достигнет 62 млрд долларов2

Появилось первое изображение смартфона Xiaomi Mi 7: Xiaomi Mi 7 засветился на первом изображении4

Apple позволит пользователям отключить функцию замедления смартфонов iPhone: Функцию замедления iPhone можно будет отключить 125

Команда Apple, которая занимается созданием оригинального видеоконтента, обосновалась в новом офисе в Калвер-Сити: Apple арендует новое здание в Калвер-Сити9

Процессор Core i7-8705G сравнили с GeForce MX150 в современной игре: Core i7-8705G существенно быстрее GeForce MX150 в играх54

Samsung начала массовое производство микросхем GDDR6 плотностью 16 Гбит: Что немаловажно, память GDDR6 потребляет на 35% меньше энергии, так как ее рабочее напряжение составляет 1,35 В против 1,55 В у GDDR561

Внешний аккумулятор Dodocool емкостью 20100 мА•ч может полностью зарядить MacBook: Компания Dodocool представила внешний аккумулятор емкостью 20100 мА•ч с выходной мощностью 45 Вт13

Смартфон Xiaomi Mi Mix 2s могут представить на MWC 2018: Xiaomi уже подтвердила, что она проведет свою пресс-конференцию 26 февраля2

Первая партия смартфонов Meizu M6s получит логотип mBlu: В продажу новинка поступит 19 января по цене от 155 долларов1

Полноэкранный смартфон AllCall Mix 2 получил Helio P23 и 6 ГБ ОЗУ: Даты начала продаж у смартфона пока нет17

Поставщики комплектующих для iPhone ожидают снижение уровня заказов в первом квартале 2018: Некоторые поставщики планируют временно остановить производство в феврале этого года, отправив сотрудников на недельные каникулы29

Поставки игровых ноутбуков в этом году увеличатся не более, чем на 10%: В Юго-Восточной Азии, Европе и Азиатско-Тихоокеанском регионе Asustek и MSI по объему поставок являются лучшими производителями игровых ноутбуков

Sony представит новые смартфоны 26 февраля 2018: В этом году выставка Mobile World Congress 2018 пройдет в Барселоне с 26 февраля по 1 марта26

Складной смартфон ZTE Axon M выпустят в Европе в первом квартале 2018: Более интересной для наших читателей станет информация о том, что устройство также будет выпущено на территории Европы3

Apple вложит в экономику США 350 млрд долларов в последующие пять лет: Apple рассказала, как будет инвестировать в экономику США 34

Samsung представила однокристальную систему Exynos 7872: SoC Exynos 7872 всё-таки содержит GPU Mali-G71 MP115

Смартфон Samsung Galaxy On7 Prime (2018) не получил экрана AMOLED, но может предложить неплохие параметры: Смартфон Samsung Galaxy On7 Prime (2018) оценили в 200 долларов3

194
-

iXBT TV

  • Обзор автомобиля Mercedes-Benz E 220 d 4Matic All-Terrain Luxury: полноприводный внедорожный универсал

  • Обзор складной гладильной системы MIE Maxima: утюг, отпариватель для одежды и гладильная доска

  • Обзор недорогого Full HD DLP-проектора BenQ W1050 для домашнего кинотеатра

  • Процессор Intel с графикой AMD, экраны любой формы и размера

  • Критическая уязвимость Intel, разбор Apple iMac Pro, Dell XPS 13 стал тоньше

  • Обзор компактной беспроводной колонки JBL Playlist с поддержкой Chromecast

  • Обзор игрового IPS-монитора LG 34UM69G с соотношением сторон 21:9

  • Обзор блока питания Aerocool P7-750W Platinum с гибридной системой охлаждения

  • Apple специально замедляет старые iPhone, VR-революция, крошечный телефон

  • Обзор широкоугольного объектива Canon EF 35 mm F1.4L II USM

  • Обзор робота-пылесоса Kitfort KT-516 со сменными уборочными блоками

  • iMac Pro за $13 000, космический туризм, клавиатурные шпионы от HP

Календарь

июнь
Пн
Вт
Ср
Чт
Пт
Сб
Вс

-