
		Новости / Услуги / Корпоративные услуги

RSS-лента

Новости

Пресс-релизы

Поиск по компаниям


Расширенный поиск
Обзоры сети

Архив новостей

2002 г

2003 г

2004 г

2005 г

2006 г

2007 г

2008 г

2009 г

2010 г

2011 г

2012 г

янв	фев	мар	апр
май	июн	июл	авг
сен	окт	ноя	дек
ноябрь

2013 г

Array ( [sqlTableName] => news [bgColor1] => #FFFFFF [bgColor2] => #F4F8FF [sqlDbName] => SCMS [rus_alphabet] => Array ( [0] => А [1] => Б [2] => В [3] => Г [4] => Д [5] => Е [6] => Ж [7] => З [8] => И [9] => Й [10] => К [11] => Л [12] => М [13] => Н [14] => О [15] => П [16] => Р [17] => С [18] => Т [19] => У [20] => Ф [21] => Х [22] => Ц [23] => Ч [24] => Ш [25] => Щ [26] => Э [27] => Ю [28] => Я ) [ukr_alphabet] => Array ( [0] => І [1] => Є [2] => Ї ) [companies_per_pages] => 100 [meta_keywords] => новости каталог компаний пресс-релизы события выставки [meta_description] => [sqlWhere] => status='A' and id=27980 [sqlOrder] => id desc [sqlLimit] => 0,1 [advert_left] => [template] => /usr/local/apache/newware/templates/news_id.tmpl [template_rubric] => /usr/local/apache/newware/templates/js_menu/menu.tmpl [id] => 27980 [rubrick_pid] => 220112 )

Новости

22 ноября 2012 г

Троянец-блокировщик пугает жертв изображением, скачанным с веб-камеры зараженного ПК

Специалисты компании «Доктор Веб» провели анализ одного из плагинов, которые устанавливает на инфицированном компьютере троянец Trojan.Gapz.1, заражая Windows по-новому. Результаты исследования показывают, что за плагином скрывается троянец-блокировщик, способный перехватывать изображение с подключенной к зараженному ПК веб-камеры.

Как и в случае с троянцем Trojan.Winlock.7372 данный блокировщик, добавленный в вирусные базы под именем Trojan.Winlock.7384, не хранит в себе графических изображений и текстов: вместо этого троянец использует при формировании содержимого в блокирующем Windows окне файл в формате XML, который он получает с удаленного управляющего сервера.

Запустившись на зараженной машине, Trojan.Winlock.7384 расшифровывает собственный конфигурационный файл, в котором описано, с какими странами и с какими платежными системами работает этот троянец.

В основном это ваучерные системы Ukash, Moneypack и Paysafecard. Затем на основании аппаратной конфигурации ПК вредоносная программа генерирует уникальный идентификационный номер и отправляет его на удаленный командный сервер вместе с другой информацией об инфицированном компьютере. В ответ Trojan.Winlock.7384 получает WHOIS-информацию об IP-адресе зараженного ПК, в которой среди прочего обозначено месторасположение жертвы. Получив указанные сведения, троянец сверяет эти данные с хранящимся в своем конфигурационном файле списком стран и блокирует компьютер только в том случае, если инфицированная машина располагается в Канаде, Испании, Германии, Италии, Португалии, Австрии, Швейцарии, Великобритании, Австралии, во Франции или в США. Выполнив такую проверку, Trojan.Winlock.7384 отправляет новый запрос и получает в ответ подтверждение о регистрации бота на управляющем сервере. Наконец, в качестве ответа на последний запрос с командного центра загружается несколько XML-файлов, на основе которых формируется изображение и текст блокирующего окна на соответствующем языке.

Примечательной особенностью данной версии винлока является то, что Trojan.Winlock.7384 способен перехватывать изображение с подключенной к зараженному компьютеру веб-камеры и демонстрировать ее в блокирующем систему окне с целью запугивания пользователя. В тексте сообщения, написанного якобы от имени государственных правоохранительных структур, упоминается о том, что все действия жертвы на данном компьютере записываются, а ее портрет, полученный с помощью веб-камеры, сохраняется для последующей идентификации и получения дополнительной персональной информации.

Для разблокировки компьютера троянец требует ввести код ваучера от платежной системы — этот код обычно размещается на чеке, выдаваемом платежным терминалом при внесении какой-либо суммы. Введенный жертвой код передается на принадлежащий злоумышленникам управляющий сервер и проверяется на подлинность. В случае подтверждения факта оплаты управляющий центр отправляет троянцу команду разблокировать компьютер. Сумма, которую требуют заплатить за эту услугу злоумышленники, составляет 100 евро, или $150.

Изучение угроз, поступающих в антивирусную лабораторию компании «Доктор Веб» в последнее время, показывает, что злоумышленники понемногу отказываются от создания традиционных винлоков с использованием стандартных «конструкторов», прибегая к разработке все более сложных троянцев-блокировщиков с разнообразным функционалом.

версия для печати