Методы обнаружения вирусов

9 сентября 2011 г.

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — сообщает о новых случаях заражения пользовательских компьютеров вредоносной программой BackDoor.IRC.NgrBot, с использованием которой злоумышленники создали крупную бот-сеть.

Один из способов распространения троянца — модули флеш-памяти. При подключении «флешки» к USB-порту BackDoor.IRC.NgrBot копируется под случайным именем в папку %RECYCLER% и создает файл автозапуска autorun.inf. Оказавшись на незараженной машине, троянец скрывает системные папки в корне жесткого диска и создает вместо них ярлыки, при открытии которых запускается вредоносная программа. Затем BackDoor.IRC.NgrBot сохраняет себя под случайным именем в системную папку %APPDATA%, прописывается в ветке реестра, отвечающей за автозагрузку приложений, и запускается на выполнение. Вслед за этим BackDoor.IRC.NgrBot встраивается в процесс explorer.exe и все запущенные процессы, кроме skype.exe и lsass.exe, после чего исходный файл удаляется из места, откуда он был первоначально загружен. После запуска троянец проверяет свою целостность: если она нарушена, вредоносная программа стирает загрузочный сектор жесткого диска, а также несколько расположенных ниже секторов и демонстрирует на экране сообщение:

«This binary is invalid.
Main reasons:
- you stupid cracker
- you stupid cracker...
- you stupid cracker?!»
Затем троянец пытается получить привилегии для перезапуска системы.

Если заражение произошло, BackDoor.IRC.NgrBot авторизуется на управляющем IRC-сервере, отсылает об этом отчет и начинает получать различные директивы, среди которых могут быть команды обновления бота, переключения на другой канал IRC, удаления бота, передачи статистики, начала DDoS-атаки, включения редиректа — всего предусмотрено несколько десятков команд. Одной из особенностей данной бот-сети является регулярное криптование ботов, которые закачиваются на инфицированные компьютеры в процессе очередного цикла обновления. Таким образом вирусописатели пытаются затруднить детектирование угрозы антивирусным ПО.

Помимо этого, BackDoor.IRC.NgrBot позволяет злоумышленникам реализовывать следующие функции:

  • управление такими программами, как ipconfig.exe, verclsid.exe, regedit.exe, rundll32.exe, cmd.exe, regsvr32.exe;
  • блокировка доступа к сайтам компаний-производителей антивирусного ПО и ресурсам, посвященным информационной безопасности;
  • перехват и отправка злоумышленникам данных учетных записей при посещении пользователем различных сайтов (включая PayPal, YouTube, Facebook, AOL, Gmail, Twitter и др.);
  • перехват и передача злоумышленникам сообщений, отправленных пользователем на сайтах Facebook, Twitter, В Контакте и т.д.;
  • перенаправление пользователя на различные фишинговые сайты.

Каждый из составляющих сеть ботов генерирует собственное имя исходя из версии установленной на инфицированном компьютере операционной системы, ее локализации, прав, с которыми запущен троянец, а также иных данных. Согласно имеющейся в распоряжении специалистов компании «Доктор Веб» информации, только 2 сентября 2011 года ботами построенной на базе BackDoor.IRC.NgrBot сети было выполнено 60806 редиректов пользователей на фишинговые сайты, имитирующие оформление банковских систем www.davivienda.com и colpatria.com.

Таким образом, можно сделать косвенные выводы о численности ботов, составляющих сеть BackDoor.IRC.NgrBot. Данная бот-сеть действует и в настоящий момент: специалистами компании «Доктор Веб» осуществляется непрерывный мониторинг ее активности. Троянец BackDoor.IRC.NgrBot в различных модификациях включен в вирусные базы Dr.Web. В целях профилактики мы еще раз напоминаем пользователям о необходимости регулярного сканирования дисков их компьютеров обновленным антивирусным ПО.

НОВОЕ НА САЙТЕ

24 апреля 2019 года

Компания «Доктор Веб» информирует об обновлении обслуживания перехвата трафика Dr.Web Net filtering Service (12.0.3.04171) в продуктах Dr.Web Security Space 12.0 так что Антивирус Dr.Web 12.0. Обновление связано с снабжением совместимости продуктов со посторонним ПО.

В Dr.Web Net filtering Service внесено ... Антивирус Dr.Web

23 апреля 2019 года

Компания «Доктор Веб» информирует об обновлении модуля drweb-antispam в продуктах Антивирус Dr.Web для Linux так что Антивирус Dr.Web для почтовых серверов UNIX версии 11.0 (версия модуля 11.0.7-1904101611) так что 11.1 (версия модуля 11.1.2-1904111807). помимо того, в Антивирусе Dr.Web 11.1 для Linux был обновлен модуль drweb-configd (11.1.2-19041... Антивирус Dr.Web

19 апреля 2019 года

Компания «Доктор Веб» продолжает ломить над совместимостью своих продуктов с русскими ОС. вдогон за совместимостью продуктов Dr.Web с РЕД ОС 7.1 МУРОМ мы рады известить о получении подобного сертификата для совместной работы Dr.Web с снова одно... Антивирус Dr.Web

18 апреля 2019 года

Компания «Доктор Веб» информирует об обновлении управляющего обслуживания Dr.Web Control Service (12.0.8.03281), модуля Dr.Web Updater (12.0.9.04050), а уж еще конфигурационных скриптов Lua-script for av-engine (12.0.6.04170) так что Lua-script for main (12.0.6.03130) в продуктах Dr.Web Security Space 12.0, Антивирус Dr.Web 12.0 так что Антивирус D... Антивирус Dr.Web

15 апреля 2019 года

Компания «Доктор Веб» информирует об обновлении продукта Dr.Web Security Space для Android на гугл Play перед началом версии 12.3.2. Обновление связано с конфигурацией в политике фирмы Google, усовершенствованием обслуживания так что исправлением выявленных ошибок.

Улучшения функций распознавания угроз: