Search the Community

Свердловский районный суд города Перми признал местного жителя виновным в хищении более 3,6 млн руб., принадлежащих ООО «Информ», тем самым полностью удовлетворив гражданский иск потерпевших. Как сообщается на сайте краевой прокуратуры, преступник признан виновным в совершении преступления, предусмотренного ч.3 ст. 159.6 УК РФ (мошенничество в сфере компьютерной информации, совершенное в крупном размере). По данным прокуратуры, злоумышленник заразил корпоративный компьютер компании вредоносным ПО, предоставившим ему удаленный доступ к хранящимся на зараженной системе данным и установленным программам. Киберпреступник переводил денежные средства на счета подставных физических лиц, а затем обналичивал их. Суд избрал для него наказание в виде штрафа в размере 110 тыс. руб. Помимо вышеупомянутого преступника, в деле фигурировали еще два человека. Один из них был освобожден судом от ответственности в связи с наличием психического расстройства. Для него была избрана мера в виде принудительного психиатрического лечения. Личность третьего фигуранта пока не установлена.

Исследователи безопасности из компании Forcepoint Security обнаружили новую версию трояна Quant с функционалом, позволяющим атаковать криптовалютные кошельки. По словам исследователей, неудивительно, что злоумышленники обратили внимание на криптовалюты, учитывая стремительный рост курса биткойна в текущем году. На момент написания новости стоимость одного биткойна достигла отметки в $12,6 тыс. Quant продается на русскоязычных хакерских форумах пользователем под псевдонимами MrRaiX и DamRaiX. Троян представляет собой программу-загрузчик, имеющую функцию географического таргетинга, а также загрузки и выполнения файлов .exe и .dll. В прошлом году Quant использовался злоумышленниками для распространения вредоносного ПО Locky Zepto и Pony. Как заявили эксперты, в обновленной версии вредоносного ПО добавлен ряд новых функций. В частности, в трояне появился ряд вредоносных файлов, загружаемых на зараженное устройство по умолчанию. Первый файл (bs.dll.c) позволяет похищать криптовалюту. Второй (sql.dll.c) - библиотека SQLite, необходимая для работы третьего файла zs.dll.c, позволяющего похищать учетные данные жертвы. Bs.dll.c, также известный как MBS, представляет собой библиотеку, позволяющую сканировать директорию Application Data на предмет криптовалютных кошельков, похищать обнаруженные данные и отправлять их на C&C-сервер злоумышленника. Троян атакует только offline-кошельки, поддерживающие криптовалюты Bitcoin, Terracoin, Peercoin и Primecoin. zs.dll.c (Z*Stealer) позволяет похищать учетные данные приложений и операционной системы. После завершения сканирования все украденные учетные данные передаются на C&C-сервер с помощью HTTP POST-запроса. Z*Stealer может использоваться для хищения учетных данных в сетях Wi-Fi, браузере Chrome, почтовых клиентах Outlook Express и Thunderbird. Как пояснили исследователи, описанные выше вредоносные модули можно купить и по отдельности, однако распространитель Quant мог включить их в загрузчик, чтобы оправдать сравнительно высокую стоимость вредоноса - $275. Новая версия Quant также содержит функцию спящего режима для уклонения от обнаружения антивирусами.

Эксперты Eset вновь обнаружили в Google Play мобильный банковский троян BankBot, скрывающийся под видом легитимного приложения. Вредоносная программа приобрела новые функции и теперь маскирует активность под служебные сообщения Google. BankBot предназначен для сбора логинов и паролей от мобильных приложений банков. Эксперты Eset впервые рассказали об этой угрозе в начале 2017 года. В течение полугода злоумышленники дорабатывали троян, добавив улучшенную обфускацию кода и сложный механизм заражения, использующий службу специальных возможностей Android Accessibility Service. Новая версия BankBot проникла в Google Play в сентябре под видом игры Jewels Star Classic. Специалисты Eset сообщили об инциденте в Google, но приложение успели установить примерно 5000 пользователей прежде, чем оно было удалено. Когда пользователь скачивает Jewels Star Classic, на его устройстве оказывается не только игра, но и вредоносные компоненты. Через 20 минут после первого запуска приложения на экране устройства появляется сообщение с предложением активировать службу Google Service в меню специальных возможностей Android. Активировав службу, пользователь предоставит вредоносной программе полную свободу действий на устройстве. Получив доступ к специальным возможностям Android, малварь разрешает установку приложений из неизвестных источников; устанавливает компонент мобильного банкера BankBot и запускает его; активирует права администратора для BankBot; устанавливает BankBot в качестве приложения для обмена SMS по умолчанию; получает разрешение для показа своего экрана поверх других приложений. Далее малварь начинает работать над кражей данных банковских карт жертвы. В отличие от прежних версий BankBot, которые имитируют формы ввода логина и пароля приложений мобильного банкинга, новая специализируется на Google Play – приложении, предустановленном на каждом Android-устройстве. Когда пользователь запускает Google Play, BankBot перекрывает экран легитимного приложения фейковой формой ввода банковских данных и требует подтвердить правильность сохраненной информации. Данные будут отправлены атакующим. Поскольку BankBot уже установлен в качестве приложения для обмена сообщениями, далее малварь перехватит все SMS, проходящие через зараженное устройство, что позволит атакующим обойти двухфакторную аутентификацию банка. Для профилактики заражения Eset рекомендует тщательно проверять приложения до скачивания, обращать внимание на запросы разрешений и использовать надежный продукт для защиты мобильных устройств.

В арсенале банковского трояна Retefe появился эксплоит EternalBlue, ранее использовавшийся в атаках вымогательского ПО WannaCry.Главными объектами новой вредоносной кампании стал ряд финансовых учреждений в Швейцарии, сообщили исследователи из компании Proofpoint. Разработанный Агентством национальной безопасности США и впоследствии обнародованный хакерской группировкой The Shadow Brokers эксплоит EternalBlue эксплуатирует уязвимость в сетевом протоколе Windows Server Message Block (SMB) для распространения по зараженной сети. Именно использование эксплоита EternalBlue обусловило столь быстрое распространение вымогательского ПО WannaCry. После публикации в открытом доступе эксплоит был вскоре взят на вооружение киберпреступниками, а теперь используется для кражи учетных данных и наличных денег в швейцарских банках операторами вредоносного ПО Retefe. Вредонос Retefe активен с 2013 года, но не так известен, как другие банковские трояны, например, Dridex. В основноми троян атакует банки в Великобритании, Швейцарии, Австрии, Швеции и Японии. В отличие от других банковских троянов, Retefe перенаправляет трафик через прокси-серверы, размещенные в сети Tor. На прокси размещаются фишинговые страницы, замаскированные под страницы авторизации целевых банков. Retefe, как правило, распространяется с помощью фишинговых писем, содержащих вредоносные документы Microsoft Office. При исполнении файла запускается команда PowerShell, которая загружает вредоносную полезную нагрузку. По словам исследователей, в данном случае полезная нагрузка содержит код эксплоита EternalBlue, загружающий скрипт PowerShell, который, в свою очередь, устанавливает Retefe. В этой версии эксплоита отсутствует модуль, отвечающий за дальнейшее распространение вредоносного ПО по зараженной сети, как в случае с атаками WannaCry. По мнению экспетов, операторы Retefe могут пока просто экспериментировать с EternalBlue и в дальнейшем использовать его для полномасштабных атак.

Ангарский городской суд вынес приговор в отношении 31-летнего хакера, обвиняемого в создании и распространении вредоносной программы (ч. 2 ст. 273 УК РФ). Согласно материалам дела, в течение нескольких лет мужчина зарабатывал на том, что собирал, тестировал и изучал различные программы и затем продавал их. Никакого специального образования он не получал. Два года назад осужденный за 3 тыс. рублей продал одному из пользователей форума «http:hakerpok.ru» программу для слежки, с помощью которой тот намеревался выяснить, какие сайты в интернете посещает и с кем общается его девушка. Данную программу, позволяющую уничтожать, копировать и блокировать информацию на компьютере, хакер-самоучка нашел в интернете, вместе с инструкцией по ее применению. Позже тот же заказчик предложил мужчине создать троян для удаленного доступа. Хакер выполнил заказ, модифицировав легальную программу, к которой добавил вредоносный самораспаковывающийся скрипт. За работу он получил 2,5 тыс. рублей. На судебном заседании подсудимый признал свою вину. Суд назначил ему наказание в виде ограничения свободы сроком на 8 месяцев.

Ранее сообщалось об уязвимости нулевого дня в MS Office, активно эксплуатируемой злоумышленниками для установки вредоносного ПО. Как стало известно, операторы ботнета Dridex используют данную уязвимость для распространения печально известного банковского трояна. По данным специалистов компании Proofpoint, злоумышленники организовали масштабную спам-кампанию, в основном ориентированную на организации в Австралии, в рамках которой рассылают миллионы электронных писем, содержащих вредоносный документ Microsoft Word. При его открытии на компьютер жертвы загружается Dridex botnet ID 7500 - одна из многочисленных версий банковского трояна, активных на сегодняшний день. По словам исследователей, это первый случай, когда операторы Dridex эксплуатируют еще не исправленную уязвимость нулевого дня. Обычно для доставки вредоносного ПО группировка использует документы Word с вредоносным макросом. Как сообщил представитель компании Microsoft, патч, исправляющий уязвимость, будет включен в состав обновлений безопасности, запланированных к выпуску 11 апреля.

Специалисты «Лаборатории Касперского» обнаружили новую вредоносную финансовую кампанию, направленную на организации в РФ. В рамках кампании злоумышленники использовали вредоносное ПО TwoBee, с помощью которого редактировали текстовые файлы для обмена данными между бухгалтерскими и банковскими системами. Согласно информации ЛК, преступники смогли похитить более 200 млн рублей у российских организаций путем простой подмены реквизитов в платежных поручениях. Львиная доля (89,8%) атак пришлась на компании малого и среднего бизнеса, 2% - на госпредприятия и 2% на организации в сфере образования. Москва лидирует по числу пострадавших организаций (25%), далее по количеству заражений следуют Екатеринбург и Краснодар. Вредонос TwoBee устанавливается на компьютеры жертв при помощи других программ, например, BuhTrap. Также были зафиксированы случаи, когда установка осуществлялась при помощи средств удаленного администрирования, в частности, LiteManager. Целью атакующих были типовые текстовые файлы, используемые для обмена данных между бухгалтерскими и банковскими системами.По умолчанию эти файлы имеют стандартные имена, что позволяет легко найти их. Информация попадает в данные файлы до того, как деньги уйдут по указанным реквизитам, предоставляя злоумышленникам возможность изменить получателя платежа. В настоящее время авторы вредоноса используют десятки счетов, на которые переводят средства. «Техника подмены реквизитов в платежных поручениях в свое время сошла на нет благодаря массовому распространению технологий шифрования в большинстве финансовых систем. Вероятно, тот же способ будет эффективен и в борьбе с TwoBee – защищенные выгрузки не позволят троянским программам так просто менять реквизиты в денежных переводах. Именно поэтому мы советуем всем компаниям передавать финансовую информацию в зашифрованном виде», - отметил эксперт ЛК Денис Легезо.