Троян для «Одноклассников» и «ВКонтакте» распространялся через латиноамериканские сайты
Международная антивирусная компания Eset сообщила новые подробности о троянской программе Win32/Bicololo, нацеленной на пользователей российских социальных сетей.
Как рассказали CNews в компании, Win32/Bicololo.A — троян, целью которого является кража персональных данных интернет-пользователей. Данная угроза распространяется под видом ссылок на графические файлы с расширением .jpg. При активации подобной ссылки вместо изображения загружается вредоносное ПО.
Попав на компьютер, вредоносная программа модифицирует системный файл hosts, чтобы при попытке пользователя зайти на определенный легальный сайт тайно перенаправлять его на фальшивую страницу, принадлежащую злоумышленникам. Вся информация, введенная пользователем на такой странице, автоматически попадает к злоумышленникам.
В файле hosts, модифицированном программой Win32/Bicololo, были обнаружены ссылки на сайты «Одноклассники» и «ВКонтакте», а также на портал Mail.ru — то есть угроза нацелена на пользователей именно этих ресурсов.
IP-адреса в модифицированном файле hosts
Как пояснили в Eset, хотя измененный файл hosts содержит адреса мобильных версий сайтов (m.ok.ru, m.vk.com и др.), угроза Win32/Bicololo не распространяется на мобильные платформы и рассчитана только на семейство операционных систем Windows.
Эксперты компании обнаружили образцы описываемой модификации Win32/Bicololo в один день в четырех разных странах: Аргентине, Бразилии, Колумбии и Чили. Именно поэтому сначала предполагалось, что эта угроза имеет латиноамериканское происхождение.
Тем не менее, детальный анализ угрозы подтверждает ее российские корни: в коде Win32/Bicololo встречаются комментарии на русском языке. Кроме того, в одном из файлов, создаваемых вредоносной программой, была обнаружена фраза «стою у трапа самолета». Это строка из песни «Аэропорт» 1987 г., которую исполнял Александр Барыкин.
Ссылки на вредоносное ПО Win32/Bicololo, замаскированные под jpg-изображения
По данным экспертов Eset, сайты с доменами .ar, .br, .cl и .co, использованные для размещения вредоносного ПО, являются вполне легальными ресурсами. Они специально были заражены программами-взломщиками с целью распространения данной модификации Win32/Bicololo. Скорее всего, эти сайты были обнаружены злоумышленниками путем автоматического сканирования на предмет уязвимостей, полагают эксперты компании.
Кроме того, в своей схеме кибератаки преступники использовали два сервера. На одном были размещены фальшивые аналоги главных страниц «ВКонтакте», «Одноклассники» и Mail.ru, второй использовался для связи с вредоносной программой. Эти серверы могли быть арендованы или взломаны киберпреступниками. Судя по IP-адресам, они расположены за пределами Латинской Америки.
В 2013 г. семейство троянов Win32/Bicololo неизменно попадает в рейтинг наиболее распространенных в России вредоносных программ, ежемесячно составляемый аналитиками Eset. Различные модификации Bicololo могут распространяться разными способами, маскируясь под легальные приложения или файлы. В Eset рекомендуют соблюдать осторожность, не открывать ссылки в незапрошенных сообщениях и не отключать антивирусное ПО.
Как рассказали CNews в компании, Win32/Bicololo.A — троян, целью которого является кража персональных данных интернет-пользователей. Данная угроза распространяется под видом ссылок на графические файлы с расширением .jpg. При активации подобной ссылки вместо изображения загружается вредоносное ПО.
Попав на компьютер, вредоносная программа модифицирует системный файл hosts, чтобы при попытке пользователя зайти на определенный легальный сайт тайно перенаправлять его на фальшивую страницу, принадлежащую злоумышленникам. Вся информация, введенная пользователем на такой странице, автоматически попадает к злоумышленникам.
В файле hosts, модифицированном программой Win32/Bicololo, были обнаружены ссылки на сайты «Одноклассники» и «ВКонтакте», а также на портал Mail.ru — то есть угроза нацелена на пользователей именно этих ресурсов.
IP-адреса в модифицированном файле hosts
Как пояснили в Eset, хотя измененный файл hosts содержит адреса мобильных версий сайтов (m.ok.ru, m.vk.com и др.), угроза Win32/Bicololo не распространяется на мобильные платформы и рассчитана только на семейство операционных систем Windows.
Эксперты компании обнаружили образцы описываемой модификации Win32/Bicololo в один день в четырех разных странах: Аргентине, Бразилии, Колумбии и Чили. Именно поэтому сначала предполагалось, что эта угроза имеет латиноамериканское происхождение.
Тем не менее, детальный анализ угрозы подтверждает ее российские корни: в коде Win32/Bicololo встречаются комментарии на русском языке. Кроме того, в одном из файлов, создаваемых вредоносной программой, была обнаружена фраза «стою у трапа самолета». Это строка из песни «Аэропорт» 1987 г., которую исполнял Александр Барыкин.
Ссылки на вредоносное ПО Win32/Bicololo, замаскированные под jpg-изображения
По данным экспертов Eset, сайты с доменами .ar, .br, .cl и .co, использованные для размещения вредоносного ПО, являются вполне легальными ресурсами. Они специально были заражены программами-взломщиками с целью распространения данной модификации Win32/Bicololo. Скорее всего, эти сайты были обнаружены злоумышленниками путем автоматического сканирования на предмет уязвимостей, полагают эксперты компании.
Кроме того, в своей схеме кибератаки преступники использовали два сервера. На одном были размещены фальшивые аналоги главных страниц «ВКонтакте», «Одноклассники» и Mail.ru, второй использовался для связи с вредоносной программой. Эти серверы могли быть арендованы или взломаны киберпреступниками. Судя по IP-адресам, они расположены за пределами Латинской Америки.
В 2013 г. семейство троянов Win32/Bicololo неизменно попадает в рейтинг наиболее распространенных в России вредоносных программ, ежемесячно составляемый аналитиками Eset. Различные модификации Bicololo могут распространяться разными способами, маскируясь под легальные приложения или файлы. В Eset рекомендуют соблюдать осторожность, не открывать ссылки в незапрошенных сообщениях и не отключать антивирусное ПО.
Ещё новости по теме:
18:20