троянцы, вирусы и прочие вредоносные программы

[murtik]

«Доктор Веб» помогает избавиться от троянца, блокирующего доступ к системе

 

10 апреля 2009 года

 

Компания «Доктор Веб» информирует о появлении новой троянской программы, которая при запуске компьютера предлагает ввести регистрационный код якобы для регистрации нелицензионной копии Windows. Для получения регистрационного кода тр*цензура*ется отправить платное SMS-сообщение.

 

В последнее время значительно возросло число вредоносных программ-вымогателей, тр*цензура*ющих отправить SMS-сообщения для получения доступа к системе или к пользовательским документам. 8 апреля 2009 года вирусными аналитиками компании «Доктор Веб» был получен образец очередной программы, которая распространяется в виде поддельных кодеков и при запуске Windows выводит сообщение о необходимости отправить SMS с текстом для разблокировки доступа к системе. Данная вредоносная программа была добавлена в вирусную базу Dr.Web под именем Trojan.Winlock.19. Ее модификации уже автоматически распознаются технологией Origins TracingTM как Trojan.Winlock.origin.

 

Trojan.Winlock обладает особенностью, позволяющей ему удалять себя через 2 часа после запуска. Для тех, кто не хочет ждать, специалисты компании «Доктор Веб» подготовили специальную форму, в которую можно ввести текст предполагаемого sms-сообщения и получить код разблокировки.

Текст для SMS:

Код активации:

 

Компания «Доктор Веб» в очередной раз призывает пользователей не поддаваться на уловки вирусописателей, отправляя им запрашиваемые SMS. Установленный на компьютере Dr.Web оперативно выявляет данную угрозу и уничтожает ее. При возможном заражении в случае применения другого антивирусного ПО, пользователь всегда может воспользоваться формой, разработанной специалистами «Доктор Веб».

[murtik]

«Лаборатория Касперского», ведущий производитель систем защиты от вредоносного и нежелательного ПО, хакерских атак и спама, сообщает об обнаружении новой версии вредоносной программы Kido, также известной как Conficker и Downadup. В ночь с 8 на 9 апреля компьютеры, зараженные Trojan-Downloader.Win32.Kido, взаимодействуя друг с другом через P2P-соединения, отдали команду другим зараженным машинам на загрузку новых файлов. Ботнет Kido активизировался.

 

Новый вариант Kido отличается от своих предыдущих версий, и теперь это снова червь. Первичный анализ кода зловреда позволяет говорить о том, что текущая версия Kido будет функционировать до 3 мая 2009 года.

 

Помимо загрузки самообновления Kido загружает на зараженные компьютеры 2 новых файла.

 

Первый из них – FraudTool.Win32.SpywareProtect2009.s – поддельный антивирус, который размещен на серверах, расположенных на территории Украины. При запуске программа предлагает «удалить найденные вирусы», тр*цензура*я за это деньги – $49.95.

 

Вторым файлом, который устанавливается Kido на зараженные системы, стал Email-Worm.Win32.Iksmas.atz, также известный как Waledac. Это почтовый червь, обладающий функционалом кражи данных и рассылки спама. Iksmas (Waledac) появился в январе 2009 года, и еще тогда многие эксперты заметили некоторое сходство алгоритмов работы между Kido и им. Одновременно в эпидемией Kido шла не менее массовая эпидемия Iksmas в электронной почте.

 

«За 12 часов Iksmas, установленный новой версией Kido, неоднократно подключался к своим центрам управления по всему миру и получал от них команды на рассылку спама. Всего за 12 часов работы одного-единственного бота он отправил 42 298 спам-писем, - комментирует текущую ситуацию Александр Гостев, руководитель центра глобальных исследований и анализа угроз "Лаборатории Касперского». – При этом практически в каждом письме используется уникальный домен. Очевидно, что это сделано для того, чтобы антиспам-технологии не смогли обнаружить такую рассылку, основываясь на методах анализа частоты использования конкретного домена. Всего мы зафиксировали использование 40 542 доменов третьего уровня и 33 домена второго уровня. Практически все эти сайты находятся в Китае и зарегистрированы на самых разных людей, вероятно вымышленных. Простой математический подсчет показывает, что один бот Iksmas отправляет примерно 80 000 писем в сутки. Если предположить, что общее количество зараженных машин составляет 5 000 000, то получается, что за одни сутки этот ботнет мог разослать примерно 400 миллиардов писем со спамом!»

 

В настоящее время в «Лаборатории Касперского» проводится детальный анализ новой модификации Kido. Специалисты компании ведут работы по созданию новой версии утилиты KKiller с учетом функциональных особенностей новой версии сетевого червя.

 

У пользователей защитных продуктов «Лаборатории Касперского» нет причин для беспокойства: новый вариант червя Kido (Net-Worm.Win32.Kido.js) с самого начала детектировался эвристически (как HEUR:Worm.Win32.Generic), точно так же, как и загружаемый им вариант Iksmas.

10.04.2009