Исследование

Наблюдая за ботами-2

В предыдущем постинге мы описали, что происходит на зараженных Kido машинах после установки на них спамбота Iksmas.

Однако Kido загрузил на компьютеры не только Iksmas, но еще и поддельный антивирус SpywareProtect2009. Его работа в системе видна пользователям, чьи компьютеры заражены.

Выглядит это примерно так: поддельный антивирус постоянно, каждые несколько минут, показывает на экране различные сообщения об «обнаружении вирусов», «сетевых атаках», «проблемах с браузером» и так далее…

Назойливость этого поддельного антивируса настолько велика, что неискушенный пользователь с большой вероятностью может кликнуть на предложение об оплате «лечения» и не только потерять 50 долларов США, но и «подарить» данные своей кредитной карточки злоумышленникам — с самым непредсказуемым результатом.

Кроме демонстрации многочисленных сообщений, SpywareProtect2009 пытается загрузить в систему еще один компонент — троянец-загрузчик (Trojan-Downloader.Win32.FraudLoad.ecl). Этот троянец, в свою очередь, должен обеспечивать загрузку новых версий SpywareProtect2009.

Перехваченный нами вариант этого троянца осуществлял загрузку новых версий поддельного антивируса с сайта alsterstore.com. Об этом нами был извещен регистратор доменной зоны, и в течении 20 минут этот ресурс был закрыт.

Наблюдая за ботами-2

Ваш e-mail не будет опубликован.

 

Отчеты

Lazarus распространяет протрояненный DeFi-кошелек

Недавно мы обнаружили протрояненное DeFi-приложение, которое имплантирует в систему полнофункциональный бэкдор. Проанализировав этот бэкдора, мы обнаружили многочисленные совпадения с другими инструментами группы Lazarus.

MoonBounce: скрытая угроза в UEFI

В конце 2021 года мы обнаружили прошивку UEFI, в которую был внедрен вредоносный код, названный нами MoonBounce. В данном отчете мы подробно опишем принцип действия импланта MoonBounce и его связь с APT41.

Подпишитесь на еженедельную рассылку

Самая актуальная аналитика – в вашем почтовом ящике