Новости бизнесаСтатьиНоу ХауАналитикаДеньгиБизнес технологииКурс валют
Главная > Новости бизнеса > Hi-Tech > Троян BackDoor.Dande инфицировал свыше 2,8 тыс. компьютеров фармацевтических компаний

Троян BackDoor.Dande инфицировал свыше 2,8 тыс. компьютеров фармацевтических компаний

Пятница, 6 июля 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — представила результаты своих наблюдений за узкоспециализированной троянской программой BackDoor.Dande, предназначенной для кражи информации у представителей российских фармацевтических компаний, о которой уже сообщала в ноябре 2011 г. С использованием технологии sinkhole специалистам «Доктор Веб» удалось установить полный контроль над ботнетом Dande, благодаря чему в течение полугода аналитики имели возможность наблюдать за поведением этой бот-сети.

Согласно данным «Доктор Веб», на начало июля бот-сеть BackDoor.Dande включает в себя 2857 рабочих станций, причем 2788 (98,5%) из них расположено на территории России, остальные располагаются в других государствах. В настоящее время рост ботнета продолжается, однако в силу специфики самого бэкдора число регистраций новых инфицированных компьютеров в сети сейчас не превышает 1–2 в сутки. По мнению специалистов «Доктор Веб», эти цифры могут в целом свидетельствовать о том, что представители фармацевтической индустрии недостаточно серьезно относятся к вопросам информационной безопасности и пренебрегают использованием современных средств антивирусной защиты.

Как удалось выяснить специалистам «Доктор Веб», BackDoor.Dande представляет собой довольно сложный многокомпонентный троян, шифрующий свои модули ключом, привязанным к конкретной инфицированной машине, и самостоятельно загружающий их в память. Благодаря этому детектировать данные вредоносные модули можно только в оперативной памяти зараженного компьютера, а расшифровать их отдельно от инфицированного ПК крайне сложно в силу уникальности ключа. Кроме того, загрузчик модулей встраивается в первую секцию одной из системных библиотек Windows, в результате чего ее становится невозможно отличить от незараженной библиотеки по формальным признакам, характерным для вирусных инфекторов, подчеркнули в компании.


Динамика роста бот-сети за первое полугодие 2012 г.

Для установки в систему BackDoor.Dande использует стандартную библиотеку system32msi.dll. Дроппер трояна встраивает вредоносный код в системную службу MSIServer, с помощью которой осуществляется дальнейшее заражение рабочей станции. Так, загружаясь в оперативную память, модуль инфектора проверяет версию операционной системы, в которой запущен троян: если это Microsoft Windows XP, происходит заражение библиотеки advapi32.dll, в ОС более старших версий заражается библиотека kernelbase.dll — в эти библиотеки встраивается модуль бэкдора, выполняющего поступающие от удаленных серверов команды и осуществляющего загрузку дополнительных компонентов трояна.

После успешной установки и запуска бэкдора он подключается к удаленным управляющим серверам и передает информацию об инфицированном компьютере, после чего по команде загружает и запускает программу-шпион Trojan.PWS.Dande. Основное предназначение этой программы — кража данных клиентских приложений семейства «Системы электронного заказа», позволяющих различным фармацевтическим предприятиям и аптекам заказывать у поставщиков медицинские препараты. К таким приложениям относятся специализированная конфигурация «Аналит: Фармация 7.7» для платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании «Аптека-Холдинг», программа формирования заявок компании «Российская Фармация», система электронного заказа фармацевтической группы «Роста», программа «Катрен WinPrice» и некоторые другие.

Среди собираемых данных — сведения об установленном на компьютере программном обеспечении, пароли учетных записей и т.д. Вся похищенная информация передается на сервер злоумышленников в зашифрованном виде. Если интересующей вирусописателей информации на зараженной машине не обнаруживается, троян с помощью встроенных модулей аккуратно излечивает ранее зараженные им же системные библиотеки и самоудаляется.

Исходя из того, что троян продолжает работу только на компьютерах, где установлена одна из систем электронного заказа медикаментов, в «Доктор Веб» предположили, что в бот-сети BackDoor.Dande состоят преимущественно рабочие станции, принадлежащие аптекам и фармацевтическим компаниям.

Антивирусные программы Dr.Web успешно детектируют и удаляют это вредоносное приложение, излечивая зараженные файловые объекты и компоненты операционной системы.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 383
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

17: 00
Nintendo выпустит картонные конструкторы для консоли Switch |
16: 40
Samsung и LG договорились о поставке гораздо большего количества телевизионных ЖК-панелей |
16: 20
Рынок технологий умных городов будет расти на 11% в год |
16: 20
Motorola готовится к релизу Moto X5 в стиле iPhone X |
16: 20
Пятисантиметровый космический телескоп начал следить за молодой экзопланетой |
16: 20
Частота процессора AMD Ryzen 5 2600 будет на 200 МГц выше, чем у Ryzen 5 1600 |
15: 40
Как исключить влияние ГМО на экологию: генетические эксперименты |
15: 40
Черная дыра, «скрытая» звездами |
15: 40
Почему техника Apple ненавидит влажные страны |
15: 40
Как сломать вертолет прямо на вертолетной площадке |
15: 20
YouTube пообещал удалять видео с поедателями капсул для стирки Tide |
15: 20
Новый троян для Android способен слушать вас и читать сообщения в WhatsApp |
15: 20
Apple вложит в экономику США $350 млрд в ближайшие пять лет |
14: 40
Евросоюз объявил войну одноразовой пластиковой упаковке |
13: 40
В Firefox 58 появится новый двухуровневый компилятор |
13: 40
Apple разрешит отключать замедление iPhone в грядущем обновлении iOS |
13: 40
Обзор фильма «Скиф»: Безумный Макс из древней Руси |
13: 40
Функции сна. Новые и актуальные теории |
12: 40
Apple позволит пользователям отключить функцию замедления смартфонов iPhone |
12: 40
Команда Apple, которая занимается созданием оригинального видеоконтента, обосновалась в новом офисе в Калвер-Сити |
12: 40
Процессор Core i7-8705G сравнили с GeForce MX150 в современной игре |
11: 20
Складной смартфон ZTE Axon M выпустят в Европе в первом квартале 2018 |
10: 20
Google переводит рабочие станции инженеров с Goobuntu (Ubuntu) на gLinux (Debian) |
09: 20
В systemd 237 запланирована поддержка VPN WireGuard |
07: 40
День, когда появился самый большой самолёт |
18: 40
Mitsubishi разработала лучшую, по её мнению, автомобильную камеру, которая позволит избавиться от боковых зеркал |
17: 40
Найден новый способ убить iPhone одним сообщением |
17: 40
Meizu M6S — полноэкранный дизайн, боковой сканер отпечатков и доступная цена |
17: 40
iPhone 7 Plus вошел в тройку самых продаваемых смартфонов в Китае |
17: 40
Новый широкоугольный телескоп LSST показали на видео |
17: 40
Чем может похвастаться смартфон с самой емкой батареей в мире |
Новости бизнесаСтатьиНоу ХауАналитикаДеньгиБизнес технологииКурс валют
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2017, 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003