Компания «Доктор Веб» сообщила о распространении
узкоспециализированной троянской программы BackDoor.Dande,
предназначенной для кражи информации у представителей российских
фармацевтических компаний.
BackDoor.Dande — довольно сложный
многокомпонентный троянец, шифрующий свои модули ключом, привязанным к
конкретной инфицированной машине, и самостоятельно загружающий их в
память. Благодаря этому детектировать данные вредоносные модули можно
только в оперативной памяти зараженного компьютера, а расшифровать их
отдельно от инфицированного ПК крайне сложно в силу уникальности ключа.
Кроме того, загрузчик модулей встраивается в первую секцию одной из
системных библиотек Windows, в результате чего ее становится невозможно
отличить от незараженной библиотеки по формальным признакам, характерным
для вирусных инфекторов.
Для установки в систему BackDoor.Dande
использует стандартную библиотеку \system32\msi.dll. Дроппер троянца
встраивает вредоносный код в системную службу MSIServer, с помощью
которой осуществляется дальнейшее заражение рабочей станции. Так,
загружаясь в оперативную память, модуль инфектора проверяет версию
операционной системы, в которой запущен троянец: если это Microsoft
Windows XP, происходит заражение библиотеки advapi32.dll, в ОС более
старших версий заражается библиотека kernelbase.dll — в эти библиотеки
встраивается модуль бэкдора, выполняющего поступающие от удаленных
серверов команды и осуществляющего загрузку дополнительных компонентов
троянца.
После успешной установки и запуска бэкдора он
подключается к удаленным управляющим серверам и передает информацию об
инфицированном компьютере, после чего по команде загружает и запускает
программу-шпион Trojan.PWS.Dande. Основное предназначение этой программы
— кража данных клиентских приложений семейства «Системы электронного
заказа», позволяющих различным фармацевтическим предприятиям и аптекам
заказывать у поставщиков медицинские препараты. К таким приложениям
относятся специализированная конфигурация «Аналит: Фармация 7.7» для
платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании
«Аптека-Холдинг», программа формирования заявок компании «Российская
Фармация», система электронного заказа фармацевтической группы «Роста»,
программа «Катрен WinPrice» и некоторые другие. Среди собираемых данных —
сведения об установленном на компьютере программном обеспечении, пароли
учетных записей и т. д. Вся похищенная информация передается на сервер
злоумышленников в зашифрованном виде. Если интересующей вирусописателей
информации на зараженной машине не обнаруживается, троянец с помощью
встроенных модулей аккуратно излечивает ранее зараженные им же системные
библиотеки и самоудаляется.
Исходя из того, что троянец
продолжает работу только на компьютерах, где установлена одна из систем
электронного заказа медикаментов, можно предположить, что в бот-сети
BackDoor.Dande состоят преимущественно рабочие станции, принадлежащие
аптекам и фармацевтическим компаниям. На начало июля 2012 года таковых
насчитывается 2857, причем 2788 (98,5%) из них расположено на территории
России, остальные располагаются в других государствах.
В
настоящее время рост ботнета продолжается, однако в силу специфики
самого бэкдора число регистраций новых инфицированных компьютеров в сети
сейчас не превышает 1–2 в сутки.
Источник:
узкоспециализированной троянской программы BackDoor.Dande,
предназначенной для кражи информации у представителей российских
фармацевтических компаний.
BackDoor.Dande — довольно сложный
многокомпонентный троянец, шифрующий свои модули ключом, привязанным к
конкретной инфицированной машине, и самостоятельно загружающий их в
память. Благодаря этому детектировать данные вредоносные модули можно
только в оперативной памяти зараженного компьютера, а расшифровать их
отдельно от инфицированного ПК крайне сложно в силу уникальности ключа.
Кроме того, загрузчик модулей встраивается в первую секцию одной из
системных библиотек Windows, в результате чего ее становится невозможно
отличить от незараженной библиотеки по формальным признакам, характерным
для вирусных инфекторов.
Для установки в систему BackDoor.Dande
использует стандартную библиотеку \system32\msi.dll. Дроппер троянца
встраивает вредоносный код в системную службу MSIServer, с помощью
которой осуществляется дальнейшее заражение рабочей станции. Так,
загружаясь в оперативную память, модуль инфектора проверяет версию
операционной системы, в которой запущен троянец: если это Microsoft
Windows XP, происходит заражение библиотеки advapi32.dll, в ОС более
старших версий заражается библиотека kernelbase.dll — в эти библиотеки
встраивается модуль бэкдора, выполняющего поступающие от удаленных
серверов команды и осуществляющего загрузку дополнительных компонентов
троянца.
После успешной установки и запуска бэкдора он
подключается к удаленным управляющим серверам и передает информацию об
инфицированном компьютере, после чего по команде загружает и запускает
программу-шпион Trojan.PWS.Dande. Основное предназначение этой программы
— кража данных клиентских приложений семейства «Системы электронного
заказа», позволяющих различным фармацевтическим предприятиям и аптекам
заказывать у поставщиков медицинские препараты. К таким приложениям
относятся специализированная конфигурация «Аналит: Фармация 7.7» для
платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании
«Аптека-Холдинг», программа формирования заявок компании «Российская
Фармация», система электронного заказа фармацевтической группы «Роста»,
программа «Катрен WinPrice» и некоторые другие. Среди собираемых данных —
сведения об установленном на компьютере программном обеспечении, пароли
учетных записей и т. д. Вся похищенная информация передается на сервер
злоумышленников в зашифрованном виде. Если интересующей вирусописателей
информации на зараженной машине не обнаруживается, троянец с помощью
встроенных модулей аккуратно излечивает ранее зараженные им же системные
библиотеки и самоудаляется.
Исходя из того, что троянец
продолжает работу только на компьютерах, где установлена одна из систем
электронного заказа медикаментов, можно предположить, что в бот-сети
BackDoor.Dande состоят преимущественно рабочие станции, принадлежащие
аптекам и фармацевтическим компаниям. На начало июля 2012 года таковых
насчитывается 2857, причем 2788 (98,5%) из них расположено на территории
России, остальные располагаются в других государствах.
В
настоящее время рост ботнета продолжается, однако в силу специфики
самого бэкдора число регистраций новых инфицированных компьютеров в сети
сейчас не превышает 1–2 в сутки.
Источник:
Пт Май 12, 2017 9:09 pm автор Admin
» Шифровальщик CryptXXX 3.0 обезвредили!
Пт Дек 23, 2016 11:43 pm автор Admin
» Вымогатель Kangaroo блокирует пользователям доступ к Windows
Вт Ноя 29, 2016 12:41 am автор Admin
» Microsoft заявляет, что новую 0-day уязвимость в Windows используют хакеры из Fancy Bear
Ср Ноя 02, 2016 3:05 am автор Admin
» 360 Total Security 8.8.0.1083 [Multi/Ru]
Пн Окт 24, 2016 10:06 pm автор Admin
» SecureAPlus Freemium 4.3.3 [Multi/Ru]
Пт Окт 21, 2016 11:31 pm автор Admin
» GridinSoft Anti-Malware [Multi/Ru] - антивирусная утилита!
Пн Авг 15, 2016 12:54 am автор Admin
» Новый вариант трояна Kovter маскируется под обновления для Firefox
Пт Июл 08, 2016 4:14 am автор Admin
» Эксперт представил способ похищения данных через кулер компьютера
Пт Июн 24, 2016 5:24 am автор Admin