Дата: Воскресенье, 19.03.2017, 14:42 | Сообщение # 51
Генералиссимус
Группа: Проверенные
Сообщений: 10646
Статус: Оффлайн
«Доктор Веб» поможет вернуть файлы, закодированные шифровальщиком Encoder.10465
«Доктор Веб» сообщает о том, что специалистам компании удалось найти способ восстановить доступ к файлам, закодированным опасным шифровальщиком Trojan.Encoder.10465.
Названный зловред атакует пользователей персональных компьютеров под управлением операционных систем Windows. Троян написан на языке Delphi. Он распространяется в том числе посредством электронной почты в письмах с вложением.
Для шифрования файлов на заражённом компьютере вредоносная программа используется библиотека DCPCrypt, при этом применяется алгоритм AES в режиме CBC с длиной ключа 256 бит. Зашифрованным файлам энкодер присваивает расширение .crptxxx, а также сохраняет на диске текстовый файл с именем HOW_TO_DECRYPT.txt следующего содержания:
Нужно отметить, что только в прошлом году от программ-шифровальщиков пострадали как минимум полтора миллиона пользователей. Как показывают исследования, многие такие программы разработаны русскоязычными хакерами.
В 2016-м появился опасный класс вымогателей, шифрующих не отдельные типы файлов, а весь накопитель в целом. Такие зловреды могут, например, кодировать главную файловую таблицу (Master File Table, MFT) диска и делать невозможной нормальную перезагрузку компьютера.
Dr.Web представила обновление Security Space 11.1.0 для Android
«Доктор Веб» сообщила о выпуске обновления Dr.Web Security Space для Android до версии 11.1.0. Как рассказали CNews в компании, в обновленном продукте добавлена поддержка ОС Android версий 7.0 и 7.1, улучшен интерфейс, реализованы новые возможности для удобства пользователей и повышения уровня защиты, а также внесены исправления выявленных ошибок.
Новые возможности Dr.Web Security Space для Android включают:
продукт поддерживает браузеры Opera mini, Яндекс.Браузер, Adblock Browser, Dolphin Browser, Спутник и UME браузер; для сокращения времени активации лицензии добавлена возможность активации непосредственно из zip-архива в письме о покупке лицензии; у пользователей появилась возможность приобрести коммерческую лицензию из приложения еще до истечения демолицензии; существенно улучшен интерфейс окон сканирования; при работе Антивора на устройствах с двумя SIM-картами теперь обе можно указать в качестве доверенных; усилена защита Антивора на устройствах под управлением Android 6.0 и выше; добавлена возможность отправки на анализ odex- и so-файлов через интерфейс Выборочного сканирования; реализовано выборочное сканирование директорий /sbin и /data при открытом root-доступе; в Аудиторе безопасности для устройств под управлением Android версии 4.4 и выше убрана категория «Приложения с наивысшим приоритетом обработки SMS»; добавлена система сбора и записи дополнительной информации для локализации возникающих проблем; URL-фильтр теперь может ограничивать доступ по категории «Онлайн-игры».
В продукт также внесен ряд изменений и улучшений при работе в режиме централизованной защиты; исправлены ошибки в работе Брандмауэра; устранены ошибки в арабской локализации приложения; ликвидирована проблема сканирования на устройствах под управлением Android 4.0 с открытым root-доступом.
Обновленный продукт доступен на Google play (Dr.Web Security Space для Android, Dr.Web Security Space для Android. Life License) и на сайте «Доктор Веб».
Для пользователей обновление пройдет автоматически. Если же автоматические обновления на устройстве отключены, необходимо зайти на Google play, выбрать в списке приложений Dr.Web Security Space или Dr.Web Security Space Life License и нажать на кнопку «Обновить».
Для обновления через сайт «Доктор Веб» нужно скачать новый дистрибутив. Если в настройках включена опция «Новая версия приложения», при обновлении вирусных баз пользователь получит уведомление о доступной новой версии, которую можно будет загрузить прямо из этого диалога.
Dr.Web Light 11.0.0 для macOS использует новую концепцию
Компания «Доктор Веб» объявила о выпуске антивирусного продукта Dr.Web Light 11.0.0 для macOS, в котором реализовано значительное количество изменений и улучшений.
Сообщается, что решение переведено на полностью новую концепцию. В частности, на смену главному окну пришёл единый агент, гармонично расширяющий функциональность операционной системы, не выходя за пределы меню состояния.
В одиннадцатой версии продукта оптимизирована работа всех подсистем. В результате, повысилась эффективность работы и уменьшилась нагрузка на аппаратную часть устройства.
Решение защищает компьютер от вирусов и вредоносных объектов с помощью наиболее современных технологий Dr.Web. Встроенный сканер поможет проверить систему и обезвредить найденные угрозы. Защиту от ещё неизвестных вирусов обеспечит эвристический анализатор.
В то же время, как отмечается, пакет имеет ограниченные возможности по сравнению с полной версией Dr.Web для macOS. Дело в том, что отсутствуют полноценный файловый монитор и возможность лечения многих видов угроз, поскольку приложение не поддерживает работу с правами суперпользователя. С выходом Dr.Web Light 11.0.0 для macOS прекращена поддержка устройств под управлением macOS версий 10.7 и 10.8. Для обновления Dr.Web Light для macOS до редакции 11.0.0 необходимо открыть магазин приложений Mac App Store и на вкладке обновлений нажать на кнопку Update рядом с названием продукта.
«Доктор Веб» обнаружил в Google Play зараженные игры, скачанные более 4,5 млн раз
Вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько игр для ОС Android со встроенным в них троянцем Android.RemoteCode.127.origin. Он незаметно скачивает и запускает дополнительные модули, которые выполняют различные вредоносные функции. Например, симулируют действия пользователей, скрытно открывая веб-сайты и нажимая на расположенные на них элементы.
Android.RemoteCode.127.origin входит в состав программной платформы (SDK, Software Development Kit) под названием 呀呀云 («Я Я Юнь»), которую разработчики используют для расширения функционала своих приложений. В частности, она позволяет игрокам поддерживать друг с другом связь. Однако помимо заявленных возможностей указанная платформа выполняет троянские функции, скрытно загружая с удаленного сервера вредоносные модули.
При запуске программ, в которые встроен этот SDK, Android.RemoteCode.127.origin делает запрос к управляющему серверу. В ответ он может получить команду на загрузку и запуск вредоносных модулей, способных выполнять самые разные действия. Один из таких модулей, который перехватили и исследовали специалисты «Доктор Веб», получил имя Android.RemoteCode.126.origin. После старта он соединяется с управляющим сервером и получает от него ссылку для загрузки безобидного на первый взгляд изображения.
В действительности же в этом графическом файле спрятан еще один троянский модуль, представляющий обновленную версию Android.RemoteCode.126.origin.Такой метод маскировки вредоносных объектов в изображениях (стеганография) уже не раз встречался вирусным аналитикам. Например, он применялся в обнаруженном в 2016 году троянце Android.Xiny.19.origin.
После расшифровки и запуска новая версия троянского модуля (детектируется Dr.Web как Android.RemoteCode.125.origin) начинает работать одновременно со старой, дублируя ее функции. Затем этот модуль скачивает еще одно изображение, в котором также скрыт вредоносный компонент. Он получил имя Android.Click.221.origin.
Его основная задача – незаметное открытие веб-сайтов и нажатие на расположенные на них элементы – например, ссылки и баннеры. Для этого Android.Click.221.origin загружает с указанного управляющим сервером адреса скрипт, которому предоставляет возможность совершать различные действия на странице, в том числе симулировать клики по указанным скриптом элементам. Таким образом, если в задании троянца был переход по ссылкам или рекламным объявлениям, злоумышленники получают прибыль за накрутку счетчика посещений веб-страниц и нажатия на баннеры. Однако этим функционал Android.RemoteCode.127.origin не ограничивается, т. к. вирусописатели способны создать другие троянские модули, которые будут выполнять иные вредоносные действия. Например, показывать фишинговые окна для кражи логинов и паролей, демонстрировать рекламу, а также скрытно загружать и устанавливать приложения.
Специалисты компании «Доктор Веб» обнаружили в каталоге Google Play 27 игр, в которых использовался троянский SDK. В общей сложности их загрузили более 4 500 000 владельцев мобильных устройств.
Список приложений с внедренным Android.RemoteCode.127.origin включает Hero Mission 1.8, Era of Arcania 2.2.5, Clash of Civilizations 0.11.1, Sword and Magic 1.0.0, Fleet Glory 1.5.1, Love Dance 1.1.2, King of Warship: National Hero, Sword and Magic, Warship Rising, Star Legends и другие приложения.
Вирусные аналитики проинформировали корпорацию Google о наличии троянского компонента в указанных приложениях, однако на момент выхода этой публикации они все еще были доступны для загрузки. Владельцам Android-смартфонов и планшетов, которые установили игры с троянцем Android.RemoteCode.127.origin, рекомендуется удалить их. Антивирусные продукты Dr.Web для Android успешно детектируют программы, в которых содержится Android.RemoteCode.127.origin, поэтому для их пользователей этот троянец опасности не представляет.
«Доктор Веб»: около 8% умных телевизоров и Android-устройств уязвимы для нового майнера
«Доктор Веб» сообщает о том, что информация о распространении троянца Android.CoinMine.15, известного также под названием ADB.miner, появилась несколько дней назад в блоге китайской компании, работающей в сфере информационной безопасности. По данным китайских исследователей, скорость распространения троянца в активный период была очень велика: ежедневно количество инфицированных устройств возрастало вдвое.
Специалисты «Доктор Веб» полагают, что большинство зараженных устройств – «умные» телевизоры, поскольку именно они, как правило, имеют постоянное подключение к интернету с использованием ADB.
Этот Android-троянец, предназначенный для добычи криптовалюты Monero, способен инфицировать другие устройства без участия пользователя. Вредоносная программа Android.CoinMine.15 заражает Android-устройства с открытым портом 5555, который используется интерфейсом отладчика Android Debug Bridge (ADB).
Инфицированными могут оказаться не только «умные» телевизоры, но также смартфоны, планшеты, телевизионные приставки, роутеры, медиаплееры и ресиверы – то есть устройства, использующие отладку по сети. Еще одним потенциально уязвимым устройством является одноплатный компьютер Raspberry Pi 3 с установленной ОС Android.
Распространение троянца происходит следующим образом. С другого зараженного устройства на атакуемый узел устанавливается приложение droidbot.apk, а также файлы с именами nohup, sss и bot.dat. Затем файл sss запускается с помощью утилиты nohup и в процессе работы становится демоном.
После этого он извлекает из bot.dat другие компоненты троянца, в том числе конфигурационный файл в формате JSON, приложения-майнеры (для 32- и 64-разрядной версии ОС) и экземпляр троянской программы droidbot. После запуска droidbot в непрерывном цикле случайным образом генерирует IP-адрес и пытается подключиться к порту 5555.
В случае успеха троянец предпринимает попытку заразить обнаруженное устройство с использованием интерфейса отладчика ADB. В отдельном потоке Android.CoinMine.15 запускает приложение-майнер, предназначенное для добычи криптовалюты Monero (XMR).
Заражение подобными вредоносными программами может привести к заметному снижению быстродействия устройства, его нагреву, а также быстрому расходованию ресурса аккумулятора.
В ОС Android отладчик ADB по умолчанию отключен, однако некоторые производители все же оставляют его включенным. Кроме того, ADB по каким-либо причинам может быть включен самим пользователем — чаще всего режим отладки необходим разработчикам программ.
Согласно статистике, собранной Dr.Web для Android, отладчик Android Debug Bridge включен на 8% устройств, защищенных нашим антивирусом. Поскольку такая настройка может представлять потенциальную угрозу, специальный компонент Dr.Web, «Аудитор безопасности», предупреждает пользователя о включенном отладчике и предлагает отключить его.
Специалисты компании «Доктор Веб» рекомендуют всем владельцам Android-устройств выполнить проверку операционной системы на предмет потенциально опасных настроек. Для этого на сайте компании или в официальном каталоге Google Play можно приобрести Dr.Web Security Space для Android, в состав которого входит «Аудитор безопасности».
Если на устройстве включена, но не используется отладка по USB, лучше эту функцию отключить. Троянец-майнер Android.CoinMine.15 детектируется и удаляется антивирусными программами Dr.Web для Android.
