
		Новости / Услуги / Корпоративные услуги

RSS-лента

Новости

Пресс-релизы

Поиск по компаниям


Расширенный поиск
Обзоры сети

Архив новостей

2002 г

2003 г

2004 г

2005 г

2006 г

2007 г

2008 г

2009 г

2010 г

2011 г

2012 г

янв	фев	мар	апр
май	июн	июл	авг
сен	окт	ноя	дек
декабрь

2013 г

Array ( [sqlTableName] => news [bgColor1] => #FFFFFF [bgColor2] => #F4F8FF [sqlDbName] => SCMS [rus_alphabet] => Array ( [0] => А [1] => Б [2] => В [3] => Г [4] => Д [5] => Е [6] => Ж [7] => З [8] => И [9] => Й [10] => К [11] => Л [12] => М [13] => Н [14] => О [15] => П [16] => Р [17] => С [18] => Т [19] => У [20] => Ф [21] => Х [22] => Ц [23] => Ч [24] => Ш [25] => Щ [26] => Э [27] => Ю [28] => Я ) [ukr_alphabet] => Array ( [0] => І [1] => Є [2] => Ї ) [companies_per_pages] => 100 [meta_keywords] => новости каталог компаний пресс-релизы события выставки [meta_description] => [sqlWhere] => status='A' and id=28088 [sqlOrder] => id desc [sqlLimit] => 0,1 [advert_left] => [template] => /usr/local/apache/newware/templates/news_id.tmpl [template_rubric] => /usr/local/apache/newware/templates/js_menu/menu.tmpl [id] => 28088 [rubrick_pid] => 220112 )

Новости

5 декабря 2012 г

С сайта далай-ламы злоумышленники распространяют троянцев

Компания «Доктор Веб» информирует о распространении нескольких троянских программ с использованием взломанных злоумышленниками веб-сайтов. В частности, вредоносные программы загружаются с официального интернет-ресурса далай-ламы. Опасность грозит не только пользователям операционной системы Windows, но и Mac OS X.

Несколько дней назад пользователи проинформировали специалистов компании «Доктор Веб» о факте взлома неизвестными злоумышленниками официального сайта тибетского духовного лидера — далай-ламы. Исследуя ситуацию, специалисты «Доктор Веб» выяснили, что при попытке открытия этого веб-сайта в окне браузера на компьютер пользователя загружался файл формата jar, содержащий эксплойт (CVE-2012-0507). С помощью этой уязвимости происходит автоматический запуск троянца для Mac OS X, добавленного в вирусные базы под именем BackDoor.Dockster.

Эта вредоносная программа помещается в домашнюю папку пользователя Mac OS X и запускается. При этом для ее функционирования не требуются администраторские привилегии: троянец может работать и под учетной записью обычного пользователя. BackDoor.Dockster способен фиксировать и передавать злоумышленникам нажатия клавиш на инфицированном компьютере (т. е. пароли, которые вводятся на зараженном компьютере), а также выполнять различные команды, поступающие от злоумышленников.

Примечательно, что троянец BackDoor.Dockster.1 пытается загрузиться на компьютерах всех посетителей сайта далай-ламы (вне зависимости от используемой ими системной платформы). Вероятно, взломавшие данный сайт злоумышленники не смогли настроить на атакованном сервере соответствующую проверку клиентской ОС: в пользу этого предположения говорит то обстоятельство, что на инфицированном ресурсе специалистами «Доктор Веб» был обнаружен другой JAR-файл с именем install.jar, содержащий эксплойт CVE-2012-4681. С помощью этого файла на компьютер жертвы должна устанавливаться вредоносная программа семейства BackDoor.Gyplit, ориентированная на работу в ОС Windows и предназначенная для сбора и передачи злоумышленникам конфиденциальной информации, а также для выполнения на инфицированной машине различных команд. Тем не менее загрузки упомянутого выше JAR-файла в настоящий момент не происходит.

Известно о существовании как минимум еще двух веб-сайтов, при посещении которых выполняется проверка пользовательской ОС, и в зависимости от ее результатов на клиентский компьютер загружается соответствующий JAR-файл. В первом случае версия данного файла для пользователей Windows содержит Exploit.CVE2011-3544.83, с использованием которого происходит заражение вредоносной программой Trojan.Inject1.14703. Версия JAR-файла для других операционных систем эксплуатирует уязвимость CVE-2012-0507, при этом пользователи Mac OS X рискуют заразиться троянцем BackDoor.Lamadai.1. Эта же вредоносная программа загружается с инфицированного веб-сайта на компьютеры пользователей Linux, однако в данной операционной системе она неработоспособна.

Во втором случае — на известном южнокорейском новостном сайте, освещающем события в Северной Корее, также осуществляется проверка операционной системы посетителя при помощи аналогичного сценария, однако вредоносный файл, в роли которого выступает троянец Trojan.MulDrop3.47574, «отдается» только пользователям Windows.

Имеют место и другие инциденты, связанные с именем далай-ламы: случаи распространения вредоносных программ и таргетированных вредоносных рассылок, так или иначе ассоциированных с темой борьбы за независимость Тибета, фиксировались и ранее. В целом можно говорить о тенденции к использованию злоумышленниками взломанных интернет-ресурсов для распространения вредоносного ПО, при этом атаки носят узконаправленный характер, поскольку взлому подвергаются в основном сайты политической и оппозиционной направленности, посвященные тибетской или северокорейской проблематике.

Администраторы подвергшихся атаке веб-сайтов были своевременно предупреждены о факте взлома, и в течение нескольких суток специалисты компании «Доктор Веб» ожидали, что владельцы данных ресурсов удалят код, выполняющий вредоносные функции. Однако реакции с их стороны не последовало.

Адреса инфицированных интернет-ресурсов были временно помещены в базы интернет-фильтра Dr.Web SpIDer Gate с целью предотвращения заражения пользовательских компьютеров вредоносным ПО.

версия для печати