PandaLabs представила недельный отчет о вирусах, в котором рассматриваются три вредоносных кода: троян PayRob.A, утилита Icepack и червь Chasnah.A.
PayRob.A – это троян, предназначенный для кражи данных из учетных записей PayPal. Как и большинство троянов, PayRob.A не способен распространяться самостоятельно, для этого ему необходимо вмешательство хакера.
После запуска, PayRob.A присваивает себе атрибуты скрытого файла и редактирует реестр Windows для того, чтобы запускаться при каждой загрузке системы.
Троян создает на зараженном компьютере две своих копии – одну в папке временных файлов интернета, а вторую – в C:WINDOWSMSAPPS. Если в системе не обнаружена последняя директория, пользователь видит сообщение об ошибке.
Также он помещает копию файла под названием modeexpinovo.txt в папку с временными интернет-файлами. В этом текстовом файле хранятся все пароли PayPal, найденные трояном в зараженной системе. Хакеры могут получать удаленный доступ к этому файлу с определенного интернет-хоста.
Червь Chasnah.A демонстрирует сообщения на индонезийском языке, когда пользователь логинится, а также время от времени открывает веб-страницу какой-нибудь индонезийской организации.
Этот червь использует для своего распространения папки совместного доступа и USB-устройства. После запуска, Chasnah.A создает в зараженной системе несколько файлов, а также несколько записей в реестре Windows. Далее при каждом входе пользователь видит сообщение на английском и индонезийском языках. Кроме того, периодически червь открывает веб-браузер и просматривает страницу, о которых уже упоминалось чуть выше.
Chasnah.A снижает уровень защиты системы за счет блокировки запуска некоторых приложений безопасности, а также время от времени он проверяет, нет ли подключенных к компьютеру USB-устройств, которые можно заразить.
IcePack – вредоносная утилита, предназначенная для инсталляции вредоносного ПО с помощью эксплойтов. Icepack заражает компьютеры следующим образом: утилита получает доступ к определенной веб-странице, куда она добавляет iframe-ссылку, ведущую на сервер, на котором установлено данное приложение. Основное отличие Icepack заключается в том, что такую ссылку добавляет сама утилита. Предыдущим приложениям, таким как Mpack, были необходимы действия хакера, который вручную осуществлял доступ к веб-страницам, на которые затем добавлялась ссылка .
При посещении таких искаженных страниц пользователями, активируется Icepack, которая анализирует компьютер пользователя на предмет уязвимостей. При положительном результате, она скачивает из сети эксплойт, необходимый для использования имеющейся в компьютере уязвимости. Еще один отличительный признак Icepack - это то, что она использует эксплойты, соответствующие самым последним выявленным уязвимостям. Этому есть разумное объяснение – в таком случае существует меньшая вероятность того, что пользователи уже обновили свои компьютеры для исправления новейших брешей безопасности.
После этого кибер-преступники могут загружать на зараженные компьютеры любое вредоносное ПО. Другое нововведение в Icepack – он сочетает в себе программу проверки ftp и iframe.
Источник: cybersecurity.ru.
| 
