Noticias de la empresa Doctor Web
19.07 Doctor Web: un banker en Android peligroso controla los dispositivos móviles
19 de julio de 2017
El modo de posibilidades especiales simplifica el trabajo con smartphones y tabletas en Android y se aplica, así mismo, para ayudar a los usuarios de capacidades limitadas. Permite a los programas hacer clics automáticamente sobre varios elementos de la interfaz, tales como los botones en las ventanas de diálogo y los menús del sistema. Al obligar al usuario a conceder estos permisos al troyano,
Una vez infectado correctamente, el troyano se conecta al servidor de control registra el dispositivo móvil en el mismo y espera otros comandos.
- Enviar un mensajes SMS con el texto establecido al número indicado en el comando;
- Transferir al servidor la información sobre SMS guardada en la memoria del dispositivo;
- Cargar al servidor la información sobre las aplicaciones instaladas, el listado de contactos y la información sobre la llamadas telefónicas;
- Abrir el enlace establecido en el comando;
- Cambiar la dirección del centro de comandos.
Además, el programa nocivo supervisa todos los SMS entrantes y los transfiere también a los ciberdelincuentes.
Además de los comandos estándar, los malintencionados pueden enviar las directivas especiales al troyano. En los mismos se guarda la información cifrada sobre las aplicaciones que el bancario debe atacar. Al recibir estos comandos,
- Visualizar los formularios falsificados para introducir el nombre de usuario y la contraseña por encima de los programas bancarios iniciados;
- Visualizar la ventana phishing de configuración del servicio de pagos solicitando la introducción de la información sobre la tarjeta bancaria (por ejemplo, en caso de trabajo con el programa Google Play);
- Bloquear el funcionamiento de antivirus y otras aplicaciones que pueden afectar el troyano.
Más abajo, pueden consultarse los ejemplos de ventanas fraudulentas que puede visualizar
El troyano también recaba la información sobre todas las aplicaciones iniciadas y las acciones realizadas por el usuario en las mismas. Por ejemplo, supervisa los campos de texto disponibles, tales como los elementos del menú, y también registra las pulsaciones de botones y otros componentes de la interfaz de usuario.
Además,
Como
- Iniciar el Smartphone o la tableta infectada en modo seguro;
- Ir a la configuración de sistema y luego al listado de administradores del dispositivo;
- Localizar el troyano en este listado y quitarle los permisos correspondientes (así mismo, el programa nocivo intentará asustar al titular del dispositivo diciendo que se perderán todos los datos importantes, pero es solo un truco y los archivos no corren ningún peligro);
- Reiniciar el dispositivo, escanearlo completamente con el antivirus y borrar el troyano una vez finalizado el escaneo.
Todas las modificaciones de
19.07 Dr.Web AV-Desk amplía su presencia en el Sudeste Asiático
19 de julio de 2017
Más de 50 clientes corporativos de ESPINAT DATA GLOBAL pueden usar la protección antivirus en formato SaaS.
Aún al realizar las pruebas del sistema, los expertos de la empresa de Indonesia se aseguraron de la estabilidad del funcionamiento del servicio en Internet, así como de su implementación y administración fácil. Destacan una gama completa de funciones de soporte tanto de usuarios como del administrador de sistemas.
«La implementación Dr.Web AV-Desk fue rápido y sin dificultades — estamos seguros de lo que hacemos gracias a la coordinación de calidad y el soporte del equipo de Doctor Web. El servicio asegura el control completo de la seguridad de información integral de los clientes», — comparte sus impresiones el Director General de ESPINAT DATA GLOBAL, Rizal Muhammad.
Sobre la empresa ESPINAT DATA GLOBAL
ESPINAT DATA GLOBAL es un proveedor de servicios de tecnologías de información y comunicaciones en Indonesia. El objetivo de colaboración con los clientes es ayudarles a estar preparados para la era digital. La empresa tiene fama de socio seguro durante todo el proceso de funcionamiento de sus proyectos.
Sobre el servicio en Internet Dr.Web AV-Desk
El servicio en Internet Dr.Web AV-Desk fue creado por los expertos de la empresa Doctor Web en el año 2007. Hoy día, Dr.Web AV-Desk fue instalado por más de 350 пproveedores y empresas que proporcionan servicios de IT en varias regiones de Rusia, así como en Francia, Países Bajos, España, Ucrania, Estonia, Lituania, Kazajistán y algunos otros países.
18 de julio de 2017
En el módulo de actualización se realizaron cambios destinados para mejor comunicación con servidores de actualizaciones Dr.Web.
En el agente, fue corregido un error que causaba su finalización emergente en el momento de inicio en los equipos bajo la administración del SO Windows Server 2008 SP2. Además, para Dr.Web Enterprise Security Suite 10.0 y 10.1 fue corregida la causa de la «caída» del agente al cambiar del modo usuario al modo administrativo.
En Lua-script for av-service fue corregido un error que impedía que el producto para la protección de estaciones de trabajo se actualizara en el sistema donde anteriormente había sido instalado el agente ES.
La actualización se realizará automáticamente.
18.07 Actualización del bot Dr.Web para Telegram
18 de julio de 2017
En la actualización, el límite del volumen de objetos escaneados fue aumentado hasta 20 MB, y la notificación predeterminada para nuevos chats fue cambiada por la siguiente: «Notificar solo sobre amenazas».
Así mismo, fue corregido un error de trabajo con caracteres árabes y cirílicos en nombres de archivos escaneados y fue corregido un error que surgía al cargar archivos desde servidores Telegram.
Para usar el bot, basta con localizar la cuenta @DrWebBot en el messenger Telegram (o ir a la dirección telegram.me/drwebbot) y enviar un archivo o un enlace— el bot lo escaneará “al vuelo” usando la base de virus e informará sobre los resultados.
13 de julio de 2017
Actualmente no es posible detectar la fecha de inicio del compromiso ni la actividad anterior de este vector de ataque. El código nocivo hace que el navegador de cualquier visitante del sitio web se conecte sin autorización con una de no menos de 15 direcciones de dominio registrados a nombre de una persona privada desconocida. En respuesta, puede llegar cualquier documento independiente de estos dominios, desde un formulario falsificado de introducción de datos de tarjeta de crédito y hasta la averiguación de la vulnerabilidad para obtener acceso al equipo del visitante del sitio web.
Durante la generación dinámica de la página web consultada por el usuario, al código del sitio web se añade un contenedor <iframe> que permite descargar o solicitar cualquier dato de terceros en el navegador del usuario. En el momento, los expertos detectaron no menos de 15 dominios, entre los cuales: m3oxem1nip48.ru, m81jmqmn.ru y otras direcciones deliberadamente no informativas. Como mínimo, para 5 de ellas el rango de direcciones pertenece a las empresas registradas en Países Bajos. Durante el último día, las solicitudes a estos dominios no tienen éxito porque el certificado de seguridad de la mayoría de estos sitios web está caducado, y la respuesta no contiene código nocivo, pero nada les impide a los titulares de dominios actualizar los certificados en cualquier momento y publicar un código software nocivo en estos dominios.
Actualmente el sitio web gosuslugi.ru sigue siendo comprometido, la información fue transferida al soporte técnico del sitio web, pero no recibimos la confirmación de las medidas tomadas para prevenir los incidentes en el futuro ni de la investigación realizada. Doctor Web recomienda tener prudencia al usar el portal de servicios públicos de Federación de Rusia, hasta que el problema sea solucionado. Doctor Web S.L. recomienda a la administración del sitio web gosuslugi.ru y a los organismos competentes comprobar si el sitio web es seguro.
Cualquier usuario puede averiguar si hay este código sin ayuda, al usar un servicio de búsqueda y al crear la solicitud de búsqueda siguiente:
site:gosuslugi.ru "A1996667054"
11.07 Actualización de SpIDer Agent for Windows en los productos Dr.Web 10.0 y 11.0 para Windows
11 de julio de 2017
En el agente fue corregido un error que causaba un restablecimiento del conjunto de reglas previamente establecido para aplicaciones al realizar acciones con las mismas en la configuración del Firewall.
La actualización se realizará automáticamente.
07.07 Doctor Web contesta a Spargo Technologies
7 de julio de 2017
Cuando la empresa Doctor Web publicó los resultados de análisis del ataque objetivo a muchas redes de farmacias rusas y empresas farmacéuticas usando el programa nocivo de la familia
Cabe destacar que, primero, la empresa Spargo Technologies antes de publicar su mensaje no contactó a la empresa Doctor Web y nos acusó, así mismo, falseando el sentido de la información publicada.
Segundo, cuando la empresa Doctor Web inició la investigación en el año 2012, más de 2800 farmacias y empresas farmacéuticas rusas fueron infectadas (según el Servicio de supervisión de virus de nuestra empresa). A propósito, la investigación fue causada por las quejas de nuestros clientes. En el momento, el módulo espía
Tercero, cabe destacar, que no había archivos nocivos en el programa ePrica, por lo tanto, la empresa Doctor Web no escribió nada de eso. ePrica — es una aplicación desarrollada por la empresa Spargo Technologies que permite a los directores de farmacias analizar los precios de medicamentos y seleccionar un proveedor óptimo. La biblioteca dinámica usada por este programa, PriceCompareLoader.dll, tiene funciones exportadas que inician las bibliotecas en la memoria. PriceCompareLoader.dll se inicia en PriceComparePm.dll. Esta biblioteca intenta descargar la carga útil del sitio web, descifrarla usando el algoritmo AES e iniciarla desde la memoria. El troyano se descargaba del sitio web http://ws.eprica.ru de la empresa Spargo Technologies que sirve para actualizar el programa ePrica. Así mismo, el módulo que descargaba el programa nocivo sin autorización directamente en la memoria del equipo, tenía la firma digital válida Spargo, y este esquema de descarga no autorizada del programa nocivo causó esta investigación tan larga para detectar la fuente de infección. La información comercial robada de equipos infectados fue cargada a servidores fuera de Rusia por el troyano. En otras palabras, al igual que en caso de
Cuarto, las declaraciones de Spargo Technologies sobre la seguridad de las soluciones producidas porque el programa ePrica forma parte del Registro único de programas rusos no tienen sentido, porque este registro no tiene nada que ver con la seguridad del software. Comenta Eugenia Vasilenko, Directora Ejecutiva de la Asociación de propagadores de producción impresa – Software Nacional, - miembro del Consejo de expertos de desarrollo del sector de tecnologías de información, experto de la Comisión provisional del Consejo de Federación de desarrollo de la sociedad de información:
«Al estudiar las solicitudes para el registro de programas rusos para ordenadores y las bases de datos, no se solicita el código fuente del software. El solicitante puede proporcionar los códigos fuente. Pero en cualquier caso la distribución del software se analiza por los expertos para ver si corresponde a los criterios del software ruso establecidos por la legislaciónón. En primer lugar, el consejo de expertos analiza la distribución para ver si corresponde a las clases de software declaradas, así como en busca de componentes de desarrolladores terceros sobre los cuales el declarante no tiene derechos exclusivos.
El registro sirve para confirmar el país de origen del software. En cuanto a la seguridad de software, existen otros procedimientos de certificación y licencias».
De esta forma, la información difundida por la empresa Spargo Technologies sobre la seguridad garantizada del software Spargo Technologies solo porque el mismo forma parte del Registro único del software nacional puede indicar a error y desinformar a los clientes de esta empresa.
6 de julio de 2017
Cambio en el módulo de actualización para todos los productos:
- Optimizado el trabajo con los servidores de actualizaciones.
Cambio en el módulo de actualización para Dr.Web Enterprise Security Suite:
- Corregido el problema que causaba el aumento del tráfico al recibir las actualizaciones multicast para estaciones.
Cambios en Dr.Web Control Service para Dr.Web Security Space, el Antivirus Dr.Web, el Antivirus Dr.Web para servidores de archivos Windows y Dr.Web Enterprise Security Suite:
- Mejorado el sistema de integración con Windows Security Center (Action Center);
- Corregido el problema cuando al neutralizar los archivos potencialmente peligrosos no se tomaba en cuenta la acción seleccionada para este tipo de amenazas en la configuración del monitor de archivos SpIDer Guard.
Cambios en Dr.Web Control Servcice para Dr.Web Enterprise Security Suite y Dr.Web AV-Desk:
- Corregido el problema cuando al aplicar el comando “Actualizar todos los componentes” por parte de la consola, algunas estaciones no recibían actualizaciones;
- Corregido el error cuando al recuperar la conexión al servidor, no se enviaba la información de la estación sobre las tareas programadas iniciadas (para Dr.Web Enterprise Security Suite 10.1).
Cambios en el agente para Dr.Web Security Space, el Antivirus Dr.Web, el Antivirus Dr.Web para servidores de archivos Windows, Dr.Web Enterprise Security Suite y Dr.Web AV-Desk:
- Realizada la corrección para recuperar solo archivos «limpios» al volver a escanear varios objetos en cuarentena.
Cambios en el agente para Dr.Web Enterprise Security Suite:
- Corregido el cambio de idiomas a través de la consola del servidor.
La actualización se realizará automáticamente.
05.07 La empresa Doctor Web - Asia Central es socio de la EXPO-2017
5 de julio de 2017
Como socio de “Astana EXPO 2017” S.A., la empresa Doctor Web - Asia Central proporciona licencias de productos del conjunto antivirus corporativo Dr.Web Enterprise Security Suite para la protección integral de la infraestructura IT de la feria internacional EXPO-2017 en la ciudad de Astana y también ofrece soporte técnico de implementación y mantenimiento del sistema de protección antivirus en los sistemas de información de los objetos EXPO-2017.
Sobre EXPO-2017
La feria internacional EXPO-2017 dedicada a la «Energía del futuro» tendrá lugar en Astana de 10 de junio a 10 de septiembre. Para esta feria, fue creada una ciudad de superficie de 174 hectáreas que comprende 115 pabellones de países de todo el mundo.
Al momento de inauguración de la exposición, se vendieron más de 1 millones de entradas. La cobertura informativa de la EXPO-2017 fue de más de 1 millardo de personas.
05.07 Más de un millón de descargas: Doctor Web detectó otro troyano Android en Google Play
5 de julio de 2017
La aplicación nociva llamada
A diferencia de un procedimiento de actualización estándar cuando la antigua versión de la aplicación se sustituye completamente por la nueva, SDK indicado permite descargar los componentes necesarios por separado sin reinstalar todo el paquete de software. Esto permite a los desarrolladores mantener actualizada la versión del software instalado en dispositivos móviles hasta si los usuarios no supervisan el lanzamiento de sus nuevas versiones. Pero la plataforma Excelliance funciona como troyano descargador porque puede descargar e iniciar los componentes de aplicaciones no comprobados. Este modo de actualización viola las normas del catálogo Google Play porque es de amenaza.
El módulo troyano supervisa la actividad de red e intenta conectarse al servidor de control. En función de la configuración del servidor, en respuesta
Además de los recursos extra de la aplicación y sus actualizaciones,
Al mismo tiempo, al instalar los archivos apk descargados, el usuario ve un cuadro de diálogo estándar, pero en caso de acceso root al sistema,
Los expertos de Doctor Web notificaron a la empresa Google sobre el comportamiento peligroso del componente troyano en SDK usado en el juego BlazBlue, pero en el momento de publicación de este material en el catálogo Google Play aún estaba disponible para descargar su versión con
Las aplicaciones donde está incrustado este troyano se detectan como
04.07 Doctor Web: M.E.Doc contiene un backdor que facilita acceso al equipo a los malintencionados
4 de julio de 2017
En los mensajes se confirma que la difusión inicial del gusano
Esta clave del registro llamó la atención de los expertos de Doctor Web porque la misma ruta la usa para su funcionamiento el troyano cifrador Trojan.Encoder.12703. El análisis del registro del antivirus Dr.Web, obtenido en el equipo de un cliente nuestro, detectó que el encoder Trojan.Encoder.12703 fue iniciado en el equipo infectado por la aplicación ProgramData\Medoc\Medoc\ezvit.exe, un componente del programa M.E.Doc:
id: 425036, timestamp: 15:41:42.606, type: PsCreate (16), flags: 1 (wait: 1), cid: 1184/5796:\Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe
source context: start addr: 0x7fef06cbeb4, image: 0x7fef05e0000:\Device\HarddiskVolume3\Windows\Microsoft.NET\Framework64\v2.0.50727\mscorwks.dll
created process: \Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe:1184 --> \Device\HarddiskVolume3\Windows\System32\cmd.exe:6328
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: "cmd.exe" /c %temp%\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18o EJeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6 UGTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad9 2ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvD X0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
status: signed_microsoft, script_vm, spc / signed_microsoft / clean
id: 425036 ==> allowed [2], time: 0.285438 ms
2017-Jun-27 15:41:42.626500 [7608] [INF] [4480] [arkdll]
id: 425037, timestamp: 15:41:42.626, type: PsCreate (16), flags: 1 (wait: 1), cid: 692/2996:\Device\HarddiskVolume3\Windows\System32\csrss.exe
source context: start addr: 0x7fefcfc4c7c, image: 0x7fefcfc0000:\Device\HarddiskVolume3\Windows\System32\csrsrv.dll
created process: \Device\HarddiskVolume3\Windows\System32\csrss.exe:692 --> \Device\HarddiskVolume3\Windows\System32\conhost.exe:7144
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 0, new: 0, dbg: 0, wsl: 0
curdir: C:\windows\system32\, cmd: \??\C:\windows\system32\conhost.exe "1955116396976855329-15661177171169773728-1552245407-149017856018122784351593218185"
status: signed_microsoft, spc / signed_microsoft / clean
id: 425037 ==> allowed [2], time: 0.270931 ms
2017-Jun-27 15:41:43.854500 [7608] [INF] [4480] [arkdll]
id: 425045, timestamp: 15:41:43.782, type: PsCreate (16), flags: 1 (wait: 1), cid: 1340/1612:\Device\HarddiskVolume3\Windows\System32\cmd.exe
source context: start addr: 0x4a1f90b4, image: 0x4a1f0000:\Device\HarddiskVolume3\Windows\System32\cmd.exe
created process: \Device\HarddiskVolume3\Windows\System32\cmd.exe:1340 --> \Device\HarddiskVolume3\Users\user\AppData\Local\Temp\wc.exe:3648
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: C:\Users\user\AppData\Local\Temp\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18oE JeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6U GTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad92 ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvDX 0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
fileinfo: size: 3880448, easize: 0, attr: 0x2020, buildtime: 01.01.2016 02:25:26.000, ctime: 27.06.2017 15:41:42.196, atime: 27.06.2017 15:41:42.196, mtime: 27.06.2017 15:41:42.196, descr: wc, ver: 1.0.0.0, company: , oname: wc.exe
hash: 7716a209006baa90227046e998b004468af2b1d6 status: unsigned, pe32, new_pe / unsigned / unknown
id: 425045 ==> undefined [1], time: 54.639770 ms
El archivo ZvitPublishedObjects.dll solicitado desde el equipo infectado tenía el mismo hash que la muestra investigada en el laboratorio de virus Doctor Web. De esta forma, nuestros analistas dedujeron que el módulo de actualización del programa M.E.Doc, realizado como biblioteca dinámica ZvitPublishedObjects.dll, contiene un backdoor. La posterior investigación demostró que este backdoor puede realizar las siguientes funciones en el sistema infectado:
- Recopilación de datos para acceder a los servidores de correo;
- Ejecución de comandos aleatorios en el sistema infectado;
- Descarga de archivos aleatorios al equipo infectado;
- Descarga, almacenamiento e inicio de cualquier archivo ejecutable;
- Carga de archivos aleatorios al servidor remoto.
El siguiente fragmento del código del módulo de actualización M.E.Doc parece interesante — permite ejecutar la carga útil usando la utilidad rundll32.exe con opción #1:
De esta forma en los equipos de las víctimas fue iniciado el troyano cifrador llamado como NePetya, Petya.A, ExPetya y WannaCry-2 (
En una de sus entrevistas publicadas en el sitio web de la agencia Reuters los desarrolladores del programa M.E.Doc afirmaron que la aplicación creada no contiene funciones nocivas. A base de eso, y, así mismo, tomando en cuenta los datos del análisis estático del código, los analistas de virus Doctor Web dedujeron que unos malintencionados desconocidos infectaron un componente M.E.Doc con el programa nocivo. Este componente fue añadido a las bases de virus Dr.Web bajo el nombre de
03.07 Epidemia del gusano cifrador, nuevos troyanos para Linux y otros eventos de junio de 2017
3 de julio de 2017
| Leer el informe completo |
03.07 Doctor Web: informe de la actividad de virus en junio de 2017
3 de julio de 2017
El evento más destacado del primer mes de verano del año 2017 fue la epidemia del gusano cifrador
Tendencias clave de junio
- Epidemia del gusano cifrador
Trojan.Encoder.12544 - Difusión del troyano miner para Windows
- Detección de los nuevos programas nocivos para el SO Linux
Amenaza del mes
Por la mañana el día 27 de junio, aparecieron los primeros mensajes sobre la difusión del gusano cifrador peligroso llamado en la prensa como Petya, Petya.A, ExPetya y WannaCry-2. Los analistas de Doctor Web lo llamaron
Al mismo tiempo,
Los analistas de virus de la empresa Doctor Web creen que
La fuente inicial de difusión del troyano fue el sistema de actualización del programa MEDoc — un medio de llevar la contabilidad popular en Ucrania. Los expertos de la empresa Doctor Web ya conocen un esquema similar de difusión de programas nocivos. En el año 2012, nuestros analistas de virus detectaron un ataque objetivo a la red de farmacias y empresas farmacéuticas rusas usando el troyano espía
Según los datos estadísticos del Antivirus Dr.Web
Trojan.InstallCore
Una familia de instaladores de aplicaciones no deseadas y nocivas.- Trojan.Kbdmai.16
Un representante de la familia de troyanos de publicidad. Una de las funciones de este programa nocivo es abrir varios sitios web en la ventana del navegador. Trojan.DownLoader
Una familia de troyanos destinados para descargar otras aplicaciones nocivas al equipo atacado.- Trojan.Moneyinst.69
Un programa nocivo que instala varios tipos de software en el equipo de la víctima, así mismo, otros troyanos. Trojan.Encoder.11432
Un gusano de red que inicia un troyano cifrador peligroso en el equipo de la víctima. También conocido como WannaCry.
Según los datos de servidores de estadísticas Doctor Web
JS.DownLoader
Una familia de scripts nocivos creados en JavaScript. Descargan e instalan en el equipo otros programas nocivos.- JS.Inject.3
Una familia de scripts nocivos creados en JavaScript. Incrustan un script nocivo en el código HTML de las páginas web. Trojan.InstallCore
Una familia de instaladores de aplicaciones no deseadas y nocivas.- Trojan.Kbdmai.37
Un representante de la familia de troyanos de publicidad. Una de las funciones de este programa nocivo es abrir varios sitios web en la ventana del navegador. Trojan.DownLoader
Una familia de troyanos destinados para descargar otras aplicaciones nocivas en el equipo atacado.
Estadísticas de programas nocivos en el tráfico de correo
JS.DownLoader
Una familia de scripts nocivos creados en JavaScript. Descargan e instalan en el equipo otros programas nocivos.W97M.DownLoader
Una familia de troyanos descargadores que usan las vulnerabilidades de las aplicaciones de oficina para su funcionamiento. Sirven para descargar otros programas nocivos en el equipo atacado.Trojan.PWS.Stealer
Una familia de troyanos que sirven para robar contraseñas y otra información confidencial en el equipo infectado.
Según los datos del bot Dr.Web para Telegram
Android.Locker.139.origin ,Android.Locker.1733
Representantes de la familia de troyanos en Android que sirven para extorsión. Visualizan un mensaje importuno sobre la supuesta violación de la ley y el posterior bloqueo del dispositivo móvil, para desbloquear el cual al usuario se le ofrece pagar un rescate.Win32.HLLP.Neshta
Un virus de archivos conocido para analistas de virus a partir del año 2005. Infecta los archivos EXE PE cuyo tamaño no es inferior a 41472 bytes. En caso de infección, guarda a sí mismo al principio del archivo infectado, y el contenido original de la primera parte del archivo lo transfiere al final del archivo. Contiene la línea: «Neshta 1.0 Made in Belarus».EICAR Test File
Un archivo de texto especial destinado para hacer pruebas de funcionamiento de antivirus. Todos los programas antivirus al detectar este archivo deben dar la misma respuesta que en caso de detectar una amenaza informática real.Android.Androrat.1.origin
Un programa espía que funciona en dispositivos bajo la administración del SO Android.
En mayo, el servicio de soporte técnico de la empresa Doctor Web con mayor frecuencia lo contactaban los usuarios víctimas de las siguientes modificaciones de troyanos cifradores:
Trojan.Encoder.858 — 28.51% de solicitudes;Trojan.Encoder.10103 — 8.10% de solicitudes;Trojan.Encoder.567 — 5.54% de solicitudes;Trojan.Encoder.11432 — 4.10% de solicitudes;- Trojan.Encoder.10144 — 2.36% de solicitudes.
Dr.Web Security Space para Windows protege contra los troyanos cifradores
Durante el mes de julio del año 2017, a la base de sitios web nocivos y no recomendados fueron añadidas 229 381 direcciones de Internet.
| Mayo 2017 | Junio 2017 | Dinámica |
|---|---|---|
| + 1 129 277 | + 229 381 | - 79.68% |
Programas nocivos para el SO Linux
A principios de junio, los analistas de virus de la empresa Doctor Web investigaron dos troyanos para el SO Linux. Uno de ellos —
Una parte importante de direcciones IP usadas para atacar está en Rusia. En segundo lugar lo ocupa China, el tercer — Taiwán. La distribución geográfica de fuentes de ataques usando Linux.ProxyM puede consultarse en la imagen siguiente:
Para más información sobre estos programas nocivos, consulte el artículo publicado en nuestro sitio web.
Otros eventos de seguridad informática
Los programas nocivos que usan los recursos de computación de los equipos infectados para obtener (mining) criptodivisas aparecieron una vez aparecidas las criptodivisas: el primer troyano de la familia
Además de su función principal,
Software nocivo y no deseado para dispositivos móviles
En junio, los analistas de virus Doctor Web detectaron un troyano
Además, el mes pasado a través del catálogo Google Play se difundieron los troyanos
Otro troyano en Android detectado en junio fue llamado Android.Encoder.3.origin. Estaba destinado para los usuarios chinos y, una vez infectados los dispositivos móviles, cifraba los archivos en la tarjeta SD y demandaba un rescate por recuperarlos.
Eventos más destacados de seguridad “móvil” en junio:
- Detección de un troyano en Android que espiaba a los usuarios iraníes;
- Detección de nuevas amenazas en el catálogo Google Play;
- Difusión del troyano encoder que cifraba los archivos en la tarjeta de memoria y demandaba un rescate por descifrar los mismos.
Para más información sobre los virus para dispositivos móviles, consulte nuestro informe. Conozca más con Dr.Web
Conozca más con Dr.Web
3 de julio de 2017
| Leer el informe completo |
03.07 Doctor Web: informe de la actividad de virus para dispositivos móviles en junio de 2017
3 de julio de 2017
En junio los analistas de virus Doctor Web detectaron un troyano en Android que espiaba a los titulares iraníes de dispositivos móviles y ejecutaba los comandos de los malintencionados. Además, el mes pasado en el catálogo Google Play fueron detectadas varias aplicaciones nocivas a la vez. Una de ellas intentaba obtener acceso root, se implementaba en las bibliotecas de sistema y pudo instalar software sin autorización. Otras enviaban SMS con tarificación premium y abonaban a los usuarios a los servicios caros. Así mismo, en Google Play de difundían los programas potencialmente peligrosos, el trabajo con los cuales pudo causar la filtración de la información confidencial. Además, en junio fue detectado un nuevo cifrador Android.
TENDENCIAS CLAVE DE JUNIO
- Detección de un troyano en Android destinado para ciberespionaje
- Detección de amenazas en el catálogo Google Play
- Difusión del troyano cifrador para Android
Amenaza móvil del mes
En junio los analistas de virus de la empresa Doctor Web detectaron un troyano en
Peculiaridades de
- Difusión como si fuera una aplicación no nociva;
- Roba la mensajería SMS, los contactos de la libreta telefónica y los datos de la cuenta Google;
- Puede sacar fotos usando la cámara frontal;
- Se administra por los malintencionados a través del protocolo Telegram.
Para más información sobre este troyano, consulte nuestra noticia.
Según los datos de los productos antivirus Dr.Web para Android
Android.HiddenAds .83.originAndroid.HiddenAds .76.originAndroid.HiddenAds .85.origin- Troyanos destinados para visualizar publicidad importuna. Se difunden como aplicaciones populares por otros programas nocivos que en algunos casos los instalan sin autorización en el catálogo de sistema.
Android.DownLoader .337.origin- Un programa troyano que sirve para descargar otras aplicaciones.
Android.Triada .264.origin- Un representante de troyanos multifunción que realizan varias acciones nocivas.
Según los datos de los productos antivirus Dr.Web para Android
- Adware.Jiubang.1
- Adware.SalmonAds.1.origin
- Adware.Batmobi.4
- Adware.Avazu.8.origin
Adware.Leadbolt .12.origin- Los módulos de software no deseados incrustados en las aplicaciones en Android, que sirven para visualizar publicidad importuna en dispositivos móviles.
Amenazas en Google Play
El mes pasado, los expertos de la empresa Doctor Web detectaron en el catálogo Google Play los programas potencialmente peligrosos que permitían trabajar con las redes sociales «VKontakte” y “Odnoklassniki” bloqueadas en el territorio de Ucrania. Estas aplicaciones añadidas a la base de virus como
Así mismo, en junio en Google Play fueron detectados los troyanos de la familia
Otros troyanos en Android que se difundieron a través del catálogo Google Play en junio fueron añadidos a la base de virus Dr.Web como
Troyano cifrador
En junio fue detectado un troyano extorsionista
Los malintencionados demandaban un rescate de 20 yuanes a las víctimas, y este total se duplicaba cada 3 días. Si los ciberdelincuentes no recibían dinero una semana más tarde, una vez infectado el dispositivo móvil,
Los programas nocivos y potencialmente peligrosos para el SO Android llegan a dispositivos móviles no solo al ser descargados desde varios sitios web, sino también desde el catalogo Google Play. Los dueños de smartphones y tabletas deben instalar aplicaciones desconocidas con cuidado, y, así mismo, usar los productos antivirus Dr.Web para Android.
Su Android necesita protección
Use Dr.Web
- El primer antivirus ruso para Android
- Más de 100 millones de descargas solo desde Google Play
- Gratuito para los usuarios de productos de hogar Dr.Web
30 de junio de 2017
Los artículos publicados dicen que hay un modo de prevenir el funcionamiento del troyano Trojan.Encoder.12544 en el equipo al haber creado un archivo perfc en la carpeta C:\Windows. Algunos hasta ofrecen los archivos de comando que lo hacen en vez del usuario, por ejemplo: https://download.bleepingcomputer.com/bats/nopetyavac.bat.
Las instrucciones detalladas pueden ser consultadas en las siguientes direcciones:
- http://www.telegraph.co.uk/technology/2017/06/28/security…
- https://www.bleepingcomputer.com/news/security/vaccine…
- http://www.foxnews.com/tech/2017/06/28/petya-ransomware…
- http://www.zdnet.com/article/create-a-single…
- http://mashable.com/2017/06/28/ransomware-notpetya…
- https://www.scmagazineuk.com/notpetya-researchers…
- https://xakep.ru/2017/06/28/petya-vaccine
- http://www.securitylab.ru/news/486967.php
La empresa Doctor Web confirma que este modo de afrontar el troyano Trojan.Encoder.12544, también conocido como Petya, Petya. A, ExPetya y WannaCry-2, no es eficaz por razones siguientes:
- El archivo con el cual Trojan.Encoder.12544 controla el inicio posterior, depende del nombre del archivo del troyano. Si los malintencionados cambian el nombre del archivo nocivo, el archivo perfc en la carpeta C:\Windows ya no podrá prevenir la infección.
- El troyano comprueba si hay archivo perfc solo si tiene privilegios suficientes en el sistema operativo. La empresa Doctor Web publicó un artículo con investigación previa del cifrador Trojan. Encoder.12544, que puede ser consultado en nuestro sitio web.
La empresa Doctor Web publicó un artículo con investigación previa del cifrador Trojan.Encoder.12544, que puede ser consultado en nuestro sitio web.
29.06 Doctor Web: ya habíamos detectado antes los métodos de infección similares
29 de junio de 2017
Los analistas que analizaron el cifrador Trojan.Encoder.12544 informan que la fuente inicial de difusión del troyano fue el sistema de actualización del programa MEDoc. Este programa ayuda a llevar la contabilidad tributaria a los usuarios ucranianos. Los investigadores detectaron que la utilidad EzVit.exe que forma parte del paquete de entrega MEDoc y sirve para la actualización de la aplicación básica, en un momento determinado ejecutaba el comando cmd que permitía cargar la biblioteca nociva en la memoria del ordenador. Esta biblioteca tiene realizada la funcionalidad básica de Trojan.Encoder.12544. Como este cifrador puede difundirse de forma autónoma por la red usando la vulnerabilidad del protocolo SMB, así como robar los datos de la cuenta de usuarios Windows, para la difusión posterior de la infección basta con solo un equipo infectado.
Aún en el año 2012, los analistas de virus de la empresa Doctor Web detectaron un ataque objetivo a la red de farmacias y empresas farmacéuticas de Rusia usando el programa nocivo
Los expertos de la empresa Doctor Web realizaron una investigación que duró 4 años. Al analizar los discos duros proporcionados por una empresa víctima de
Ambos casos son similares, lo que confirma que la infraestructura de desarrollo de software requiere especial atención a la seguridad de información. Sobre todo, los procesos de actualización de cualquier software comercial deben ser controlados tanto por los desarrolladores como por los usuarios. Las utilidades de actualización de varios programas que tienen permisos de instalación e inicio de archivos ejecutables en el sistema operativo, de repente pueden ser fuente de infección. En caso de MEDoc, lo causó el hackeo por los malintencionados y el compromiso del servidor desde el cual se descargaban las actualizaciones, y en caso de
28.06 Instrucción para víctimas de Trojan.Encoder.12544
28 de junio de 2017
El troyano Trojan.Encoder.12544 se propaga usando la vulnerabilidad en el protocolo SMB v1 - MS17-010 (CVE-2017-0144, CVE-2017-0145, CVE-2017-0146, CVE-2017-0148) con exploit NSA "ETERNAL_BLUE", usa los puertos TCP 139 y 445 TCP para propagación. Es vulnerabilidad de clase Remote code execution, que significa la posibilidad de infectar un equipo remoto.
Para recuperar la posibilidad de entrar en el sistema operativo, es necesario recuperar MBR (así mismo, usando los medios estándar de la consola de recuperación Windows, al iniciar la utilidad bootrec.exe /FixMbr).
Así mismo, para realizarlo, se puede usar Dr.Web LiveDisk — cree una unidad de arranque, arranque desde este dispositivo extraíble, inicie el escáner Dr.Web, escanee el disco afectado, Desinfecte lo encontrado.
Luego: desconecte el PC del LAN, inicie el sistema, instale el patch MS17-010 https://technet.microsoft.com/en-us/library/security/ms17-010.aspx.
En los equipos con los SO Windows XP y Windows 2003 obsoletos, los patches de seguridad deben ser instalados manualmente, los enlaces directos a los mismos son:
- Windows XP SP3:
- download.windowsupdate.com/d/csa/csa/secu/2017/02/windowsxp-kb4012598-x86-custom-rus_84397f9eeea668b975c0c2cf9aaf0e2312f50077.exe
- Windows Server 2003 x86:
- download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x86-custom-rus_62e38676306f9df089edaeec8924a6fdb68ec294.exe
- Windows Server 2003 x64:
- download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x64-custom-rus_6efd5e111cbfe2f9e10651354c0118517cee4c5e.exe
- Luego instale el antivirus Dr.Web, conecte Internet, actualice las bases antivirus, inicie el escaneo completo de control.
Download guidato per numero di serie Demo para el hogar Demo para el negocio
El troyano sustituye MBR (el registro de arranque principal de la unidad), crea, y luego ejecuta la tarea en el programador de tareas para reiniciar el sistema, y luego el inicio del SO ya no será posible por causa de sustitución del sector de arranque de la unidad. Una vez creada la tarea de reinicio, se inicia el proceso de cifrado de archivos. Para cada unidad, se genera su propia clave AES que existe en la memoria antes de finalizar el cifrado de la unidad. Se cifra en la clave pública RSA y se elimina. Una vez reiniciado, en caso de sustitución MBR correcta, también se cifra la tabla de archivos MFT donde se guarda la información sobre el contenido de la unidad. La recuperación del contenido, una vez finalizado, requiere la clave privada, no es posible recuperar los datos sin la clave privada.
Actualmente no se puede descifrar archivos, estamos realizando investigaciones y buscando soluciones, y le informaremos de resultados finales.
28.06 Nuevo ataque global del cifrador: detalles de Doctor Web
28 de junio de 2017
El gusano cifrador que causó muchos problemas, Trojan.Encoder.12544 es de amenaza importante para los PCs en Microsoft Windows. Varias fuentes lo consideran modificación del troyano conocido como Petya (Trojan.Ransom.369), pero Trojan.Encoder.12544 solo es similar. Este programa nocivo penetró en los sistemas de información de un conjunto de entidades estatales, bancos y empresas en Ucrania y, así mismo, infectó los PCs de varias empresas rusas.
Actualmente se sabe que el troyano infecta los equipos con el mismo conjunto de vulnerabilidades usadas anteriormente por los malintencionados para difundir el troyano WannaCry. La difusión masiva de Trojan.Encoder.12544 empezó por la mañana el 27.06.2017. Al iniciarse en el equipo atacado, el troyano de varios modos busca los equipos disponibles en la red local, y luego, usando el listado de direcciones IP recibidas, empieza a escanear los puertos 445 y 139. Al detectar en la red los equipos que tienen abiertos estos puertos, Trojan.Encoder.12544 intenta infectarlos usando una vulnerabilidad conocida en el protocolo SMB (MS17-10).
En su cuerpo el troyano contiene dos recursos comprimidos que son versiones de 32- y 64-bits de la utilidad Mimikatz, destinada para interceptar las contraseñas de sesiones abiertas en Windows. En función del valor de bits del SO, descomprime la versión correspondiente de la utilidad, la guarda en la carpeta temporal y luego la inicia. Usando la utilidad Mimikatz, así como de dos otros modos, Trojan.Encoder.12544 recibe un listado de usuarios locales y de dominio autorizados en el equipo infectado. Luego busca las carpetas de red disponibles para la escritura, intenta abrirlas usando los datos de cuenta recibidos y guardar allí su propia copia. Para infectar los equipos a los cuales ha logrado obtener acceso, Trojan.Encoder.12544 usa la utilidad para administrar el equipo remoto PsExec (que también está almacenada en los recursos del troyano) o la utilidad de consola estándar para abrir los objetos Wmic.exe.
El encoder controla su inicio posterior usando un archivo que guarda en la carpeta C:\Windows\. Este archivo tiene nombre que corresponde al nombre del troyano sin extensión. Como la muestra del gusano difundida actualmente por los malintencionados se llama perfc.dat, el archivo que impide su inicio posterior se llamará C:\Windows\perfc. Pero si los malintencionados cambian el nombre inicial del troyano, la creación de un archivo llamado perfc sin extensión en la carpeta C:\Windows\ (como aconsejan algunas empresas antivirus) ya no podrá prevenir la infección del equipo.
Una vez iniciado, el troyano configura los privilegios para sí mismo, carga su propia copia en la memoria y le otorga los permisos de administración. Luego el encoder cambia el contenido de su propio archivo en la unidad por los datos basura y lo borra. Luego Trojan.Encoder.12544 copia el registro de arranque original de Windows a otra sección de la unidad, al haberlo cifrado previamente con algoritmo XOR, y guarda el suyo en vez del mismo. Así mismo, se destruye VBR (Volume Boot Record, el registro de arranque del volumen) de la unidad C: el primer sector del disco se llana con los datos basura. Como resultado, una vez reiniciado el equipo, la administración se le otorga al registro de arranque del troyano. Visualiza en la pantalla del equipo infectado un texto similar al mensaje de la utilidad estándar para comprobar los discos CHDISK, mientras Trojan.Encoder.12544 cifra los archivos en las unidades.
El troyano cifra los archivos solo en las unidades fijas del equipo, los datos de cada unidad se cifran en un flujo separado. El cifrado se realiza usando los algoritmos AES-128-CBC, para cada unidad se crea su propia clave. Esta clave se cifra usando el algoritmo RSA-2048 y se guarda en la carpeta raíz de la unidad del sistema bajo el nombre de README.TXT. Los archivos cifrados no tienen extensión extra. Además, el troyano es capaz de limpiar los registros de sistema. Al completar el cifrado, Trojan.Encoder.12544 visualiza en la pantalla una demanda de rescate de los malintencionados.
Aunque al servicio de soporte técnico de la empresa Doctor Web aún no llegó ninguna solicitud de las víctimas del cifrador Trojan.Encoder.12544, el mismo es de amenaza importante. Una característica de infección es el archivo perfc sin extensión en la carpeta C:\Windows. En caso de detectar este archivo, ¡no reinicie el equipo!
Y en caso de reiniciar el equipo, al iniciar el mismo en la pantalla aparece un mensaje sobre el inicio de la utilidad CHDISK, enseguida apague el PC. El registro de arranque en este caso será dañado, pero será posible recuperarlo con la utilidad de recuperación de Windows o la Consola de recuperación, al arrancar desde la unidad de distribución. Así mismo, se puede usar Dr.Web LiveDisk — cree una unidad o una unidad extraíble de arranque, arranque desde este dispositivo extraíble, inicie el escáner Dr.Web, escanee la unidad afectada, seleccione la función Desinfectar para amenazas detectadas.
Para prevenir la infección por el troyano Trojan.Encoder.12544, la empresa Doctor Web recomienda crear las copias de seguridad de todos los datos críticos en dispositivos autónomos de forma oportuna, así como usar la función «Protección contra la pérdida de datos» del Antivirus Dr.Web. Además, deben ser instaladas todas las actualizaciones de seguridad del sistema operativo. Los expertos de la empresa Doctor Web siguen analizando el cifrador Trojan.Encoder.12544.
27.06 El cifrador que ataca las empresas de Rusia y Ucrania se detecta por Dr.Web
27 de junio de 2017
Según la información de nuestros expertos, el troyano se propaga de forma autónoma, al igual que el conocido WannaCry. Aún no hay datos para confirmar si se usa el mismo mecanismo de propagación. Actualmente los analistas están investigando el nuevo troyano, más tarde informaremos de más detalles.
Algunas fuentes de los medios de comunicación aluden al extorsionista Petya (se detecta por Dr.Web como Trojan.Ransom.369) por causa de características externas de funcionamiento del extorsionista, pero el modo de difusión de esta nueva amenaza es distinto del esquema estándar usado por Petya.
Hoy, el día 27 de junio, a 16:30 hora Moscú, este cifrador fue añadido a las bases de virus Dr.Web como Trojan.Encoder.12544.
Doctor Web recomienda a todos los usuarios ser atentos y no abrir los mensajes sospechosos (esta medida es necesaria, pero no suficiente). Así mismo, se recomienda crear las copias de seguridad de los datos críticos e instalar todas las actualizaciones de seguridad para el software. Así mismo, siempre debe ser usado un antivirus en el sistema.
26.06 Lanzamiento de la versión Linux Dr.Web 11.0 para Gateways de Internet Kerio
26 de junio de 2017
La nueva versión soporta Kerio Control de versiones 9.2.1 y 9.2.2, y las versiones más recientes de la Gateway en Internet se soportan por el complemento Dr.Web 9.0.
Para instalar Dr.Web 11.0 para las Gateways de enlace Kerio, debe primero reinstalar la versión anterior del complemento.
La información más detallada sobre los requerimientos al sistema y las peculiaridades de instalación del complemento puede consultarse en las «Notas de la versión» correspondientes.
26.06 Actualización de componentes en los productos Dr.Web
26 de junio de 2017
En la actualización de Dr.Web Shellguard, fue corregida la causa del falso positivo del sistema de protección contra exploits en caso de usar MS Word 2016 junto con el programa Office Tab.
En el módulo de autoprotección, fue corregido el problema de finalización emergente del sistema (BSOD) en los equipos bajo la administración de Windows 2008 R2.
La actualización se realizará automáticamente, pero requerirá un reinicio de equipo.
23.06 Doctor Web: amenaza a los datos personas de más de 122 000 de las redes sociales
23 de junio de 2017
En mayo de este año, en el territorio de Ucrania, por el decreto del presidente, fue restringido el acceso a servicios de algunas empresas rusas, entre las cuales eran las redes sociales «VKontante» y «Odnoklassniki». Esto provocó un crecimiento de popularidad de los medios para esquivar el bloqueo, tales como el navegador Tor, VPN y anonymizers. Además, aparecieron otros programas que ofrecen funcionalidad similar, pero no siempre seguros.
Los analistas de virus de Doctor Web detectaron en el catálogo Google Play varias aplicaciones que permiten trabajar con los sitios web bloqueados de «VKontante» y «Odnoklassniki». Para acceder a estas redes sociales, a los titulares de dispositivos en Android se les ofrece indicar su nombre de usuario y contraseña, y luego los programas entran en la cuenta del usuario esquivando la restricción. Los expertos de Doctor Web detectaron 8 programas de este tipo difundidos por los desarrolladores de JDX Studio, Soukaina Bousfiha, Zikolabs, Boubakri yassir, affzakanab y simon faiz.
Todas estas aplicaciones parecen muy similares. Se instalan en dispositivos móviles como programas titulados «ВК В Украина», «ВК Украина», «ВК Украина 2», «ОК Украина», «Украина ОК», «ВК VPN Украина.», «ВК Украiна» y «ВК Украина VPN»» y tiene iconos similares. En general, fueron descargados por más de 122 000 usuarios, cada uno de los cuales puede afrontar la filtración de los datos personales.
El problema es que para esquivar el bloqueo de los sitios web de las redes sociales, este software redirige el tráfico a través de un anonymizer en línea. Los anonymizers son servidores especializados a través de los cuales pasan las solicitudes de red y que también ocultan la información sobre el equipo o el dispositivo móvil para esquivar la restricción de visitas de los recursos en Internet bloqueados. Estos servicios son bastante solicitados, por ejemplo, por los usuarios de las redes corporativos donde los administradores de sistemas prohibieron acceso a dominios de las redes sociales a nivel de Gateway.
El nombre de usuario y la contraseña introducidos en los programas se transfieren al servidor anonymizer no cifrados, por lo tanto, nada puede impedir a sus dueños usar ilegalmente la información recibida. Por ejemplo, pueden entrar en la red social en nombre de usuario y sin su autorización enviar mensajes, añadir amigos, unirse a grupos, leer mensajería, ver fotos etc. Así mismo, el usuario no sabe que se autoriza en la red social a través del dominio tercero, porque en la aplicación no se visualiza la línea de dirección. El posterior trabajo con los sitios web de «VKontante» y «Odnoklassniki» a través de este software también se realiza sin cifrar, lo que permite controlar todas las acciones realizadas en estas redes sociales.
Aún si supongamos que este enfoque negligente a la protección de la información confidencial por parte de los dueños del anonymizer y los autores de las aplicaciones se debe a un error o a la falta de conocimiento de la seguridad de información, nadie garantiza que el tráfico de red no cifrado no sea interceptado por los malintencionados.
Como el uso de los programas indicados puede causar la filtración de la información personal, el antivirus Dr.Web los detecta como aplicaciones potencialmente peligrosas de
Para evitar el riesgo, los usuarios de los recursos en línea bloqueados deben evitar las aplicaciones sospechosas y los servicios para esquivar las restricciones de acceso. En el mercado existen soluciones más seguras que ofrecen el nivel de protección suficiente. Entre ellas - VPN comerciales y gratuitas (Virtual Network Provider o redes privadas virtuales), así como servidores Proxy.
Todas las versiones conocidas de
20.06 Un ataque importante al hoster — no todo es tan seguro
20 de junio de 2017
El día 10 de junio la empresa de hosting de Korea de Sur NAYANA fue víctima del ataque del virus extorsionista Erebus (detectado por Trend Micro como RANSOM_ELFEREBUS.A (según la clasificación de Dr.Web es Linux.Encoder.10 y Linux.Encoder.11)). Como resultado, se infectaron servidores 153 Linux y más de 3400 sitios web de negocios publicados por el proveedor de hosting.
En el mensaje publicado en el sitio web de NAYANA el 12 de junio, la empresa informó que los malintencionados demandaron un rescate importante de 550 bitcoins (BTC) o 1,62 millones de dólares por descifrar los archivos en todos los servidores infectados.
El 14 de junio NAYANA informó sobre un acuerdo de pagar a plazos de un total de 397,6 BTC (unos 1,01 millones USD a fecha de 19 de junio de 2017).
Desde el punto de vista de los expertos, es un caso bastante común. Software no actualizado, errores de configuración etc. Pero es un total record del rescate pagado a los extorsionistas en la historia. Y un ataque más exitoso al SO Linux.
¿Quién tiene la culpa?
- El proveedor de servicios — no ofreció a los clientes un servicio de copia de seguridad y no se preocupó del “backup” de su infraestructura.
- Los clientes — que no hicieron copia de seguridad de sus datos, al confiar a la seguridad de la infraestructura del proveedor.
También hubo antes los ataques a proveedores de servicios en la nube, pero no tan importantes.
Doctor Web espera un crecimiento fugar de incidentes de este tipo.
Es porque cualquier noticia de este tipo produce imitadores. Es probable que posteriormente la ola de ataques a proveedores se reduzca, y también puede ser que se convierta en una nueva tendencia, al igual que los ataques a sistemas a base de Linux. Aún es muy pronto pronosticar algo.
Dr.Web recomienda
- A todos los que guardan sus datos en la nube sin usar copia de seguridad, empezar a crear copias y guardarlas sin falta con otro proveedor de servicios, en casa o en otro sitio.
- En caso de alquilar un servidor, un sitio web, un servicio en la nube, la protección siempre es necesaria. La seguridad es su preocupación. Además de las copias de seguridad, se requiere un antivirus, como mínimo. Tanto en la nube, como en el PC.
La seguridad de la infraestructura de los proveedores de servicios la proporcionan los productos Dr. Web Server Security Suite (protección de los servidores del proveedor contra la infección por el software nocivo) y Dr.Web Gateway Security Suite (escaneo del tráfico entrante en busca de programas nocivos, así como el acceso a los recursos potencialmente peligrosos publicados en Internet).
La seguridad de los clientes de proveedores de servicios la proporcionan los productos que forman parte de la línea de productos para la protección del negocio de cualquier tamaño Dr. Web Enterprise Security Suite. Cabe destacar que la protección antivirus debe proporcionarse tanto en la parte del proveedor de servicios como a nivel de la red local de la empresa y los equipos de su personal. Solo eso puede proteger contra ataques de tipo man-in-the-middle.
19.06 Doctor Web: un troyano en Android administrado a través de Telegram espía a usuarios iraníes
19 de junio de 2017
El troyano llamado
Al iniciarse, el troyano le ofrece al titular del dispositivo móvil comprobara si Telegram es popular entre otros usuarios, para los cual solicita indicar el ID personal. Una vez introducida cualquier información en el formulario correspondiente por la víctima,
Una vez recibido el icono del programa,
Más abajo pueden consultarse los archivos que
Una vez robada la información confidencial,
- call – hacer una llamada telefónica;
- sendmsg – enviar un SMS;
- getapps – transferir al servidor la información sobre las aplicaciones instaladas;
- getfiles – transferir al servidor la información sobre todos los archivos disponibles en el dispositivo;
- getloc – enviar al servidor la información sobre la ubicación del servidor;
- upload – cargar al servidor el archivo indicado en el comando que se almacena en el dispositivo;
- removeA – borrar del dispositivo el archivo indicado en el comando;
- removeB – borrar un grupo de archivos;
- lstmsg – transferir al servidor un archivo con la información sobre todos los SMS enviados y recibidos, incluidos los números de remitentes y destinatarios, así como el contenido de mensajes.
Al ejecutar cada comando, el programa nocivo informa al bot Telegram de los creadores de virus sobre el mismo.
Además de recabar los datos confidenciales por comando de los ciberdelincuentes,
Los expertos de la empresa Doctor Web advierten que con mucha frecuencia los creadores de virus difunden las aplicaciones nocivas como si fueran programas legales. Para protegerse contra troyanos, Android se recomienda instalar solo el software de desarrolladores conocidos y descargarlo de las fuentes de confianza, tales como el catálogo Google Play. Todas las versiones conocidas de troyano
