Банковский троян Buhtrap распространялся через российские новостные сайты

[душман]

Исследователи кибербезопасности из «Лаборатории Касперского» обнаружили вредоносную кампанию по распространению банковского трояна Buhtrap через ряд российских новостных сайтов (название изданий не раскрывается). По данным ЛК, большинство зараженных пользователей находились в России. Попытки заражения были также зафиксированы в Украине и Казахстане.

Как выяснили специалисты, злоумышленники внедрили вредоносный скрипт на главные страницы сайтов ряда крупных новостных изданий. При посещении зараженного сайта жертва перенаправлялась на подконтрольный злоумышленикам сервер, после чего на ее компьютере выполнялся эксплоит для браузера Internet Explorer, известный под названием VBScript Godmode.

Для загрузки скрипта с сайтов использовался HTTPS, затрудняя тем самым обнаружение и анализ вредоноса различными защитными решениями.

По словам экспертов, сам скрипт является лишь загрузчиком и после запуска он проверяет наличие файла «06d488» в папке %TEMP%. Если файл отсутствует, скрипт загружает и запускает основной модуль, а именно банковский троян Buhtrap, позволяющий злоумышленникам получить полный контроль над зараженной системой.

Конечной целью операторов банковского трояна является хищение денег со счетов юридических лиц, поэтому злоумышленники в основном атакуют компьютеры финансовых работников различных организаций. В августе минувшего года данное вредоносное ПО распространялось по аналогичной схеме через популярные у бухгалтеров и юристов сайты.

Исследователи порекомендовали специалистам по безопасности обратить особое внимание на защиту рабочих станций сотрудников финансовых отделов, в частности, установить последние обновления, запретить запуск утилит удаленного администрирования и установить защитные решения.