26 сентября 2012 года
Многокомпонентный бэкдор BlackEnergy до недавнего времени использовался для создания одного из самых крупных спам-ботнетов: в пик активности на его долю приходилось до 18 миллиардов сообщений в день. Благодаря усилиям ряда компаний и специалистов по информационной безопасности в июле 2012 года было произведено отключение нескольких управляющих серверов ботнета, контролировавших значительное число инфицированных машин. Это привело к заметному снижению общемирового объема спам-трафика. Однако полностью вредоносная деятельность BlackEnergy не была прекращена, т. к. активными оставались менее крупные командные центры бот-сети. Судя по всему, создатели сети зомби-компьютеров не оставляют попыток восстановить былую мощность ботнета, о чем свидетельствует появление новой версии троянца.
Новая модификация бэкдора, добавленная в антивирусные базы Dr.Web под именем
На представленном выше изображении видно, что в качестве «горячей темы» злоумышленники используют скандальный фильм «Невинность мусульман», который вызвал волну протестов по всему миру и уже успел привести к человеческим жертвам.
Вложенный в сообщение документ, детектируемый антивирусным ПО Dr.Web как Exploit.CVE2012-0158.14, содержит код, который эксплуатирует уязвимость одного из компонентов ActiveX. Этот компонент применяется приложением Word и некоторыми другими продуктами Microsoft для Windows. При попытке открытия документа во временный
каталог пользователя сохраняются два файла, имеющие имена « WinWord.exe» и «Невинность мусульман.doc». Первый файл является дроппером троянца
После запуска дроппера выполняется открытие второго сохраненного файла, представляющего собой обычный документ Microsoft Word. Именно он содержит исходную информацию, которую жертва и ожидала получить. Таким образом, снижается риск возникновения каких-либо подозрений со стороны пользователя.
Бэкдоры семейства
Название | Версия | Дата компиляции | Предназначение |
---|---|---|---|
ps | 14 | 04.09.2012 | Кража паролей от популярных интернет-приложений (браузеры, почтовые клиенты и т.п.) |
fs | 24 | 16.09.2011 | Взаимодействие с файловой системой и сбор информации о компьютере |
ss | 9 | 17.04.2012 | Создание скриншотов и видеозаписей |
upd | 4 | 03.03.2012 | Получение обновлений троянца |
vsnet_l | 3 | 06.09.2012 | Доступ к компьютеру при помощи функции удаленного рабочего стола |
Помимо модулей для операционных систем семейства Windows, были обнаружены плагины, которые представляют собой исполняемые ELF-файлы, работающие в ОС Linux на базе процессоров Intel c 32-битной системной логикой:
Название | Версия | Предназначение |
---|---|---|
fs_lin | 1 | Взаимодействие с файловой системой (например, получение списка имеющихся файлов и директорий) |
up_lin | 1 | Получение обновлений троянца |
weap_lin | 1 | Осуществление DDoS-атак |
Отметим, что для плагинов, скомпилированных под ОС Linux, в конфигурационном файле указана первая версия и отсутствует информация об управляющих серверах. Вполне вероятно, что включение их в список загрузки, предназначенный для Windows-версии троянца, является ошибкой его авторов. Специалисты компании «Доктор Веб» предполагают, что Linux-версия этой вредоносной программы распространяется при помощи специального дроппера.
Для пользователей продуктов компании троянец не представляет угрозы: необходимые сигнатуры уже внесены в вирусную базу антивируса Dr.Web.