ИБ-эксперты зафиксировали в Сети возобновленную активность ботнета Sefnit, впервые о котором стало известно в сентябре прошлого года. Отличием новой версии вируса от оригинальной является то, что она не использует для распространения клиент Tor.
Деятельность вируса зафиксировали специалисты Facebook. По их данным, вредоносное ПО устанавливает прямую связь между компьютером жертвы и одним или более C&C-серверами при помощи безопасного соединения Plink. Изначально Sefnit выдает себя как системный файл Windows Theme, а действует в виде двух выполняемых файлов.
Известно, что файлы размещаются в следующих локациях:
· C:\WINDOWS\system32\winthemes_service.dll (95a04d26a8b87e8a32e591693884bf50);
· C:\WINDOWS\system32\themes.dll (871db29bcc679c0d75742b902a143bfb);
· С:\users\$USER\appdata\roaming\updater\updater.dll (0afe083d8a6435fa7bdac372bfebdabd).
Обнаружившие возобновленный вирус исследователи намерены предоставить данные о Sefnit антивирусным компаниям, которые, в свою очередь, смогут разработать продукты, способные его обнаруживать. Предположительно, новый код вредоноса был написан в марте 2014 года. Эксперты также говорят, что по крайней мере 30 доменов связаны с новыми случаями инфицирования при помощи Sefnit.
После установки на компьютере жертвы вирус связывается с C&C-сервером для получения дальнейших команд или скачивания дополнительной полезной нагрузки.
Напомним, что в январе 2014 год эксперты Microsoft подчеркнули опасность вируса даже после его удаления. Тогда специалисты отметили, что, несмотря на удаление вредоноса, на системе остается установленным Tor версии 0.2.3.25. В последнем отключена функция автоматического обновления, благодаря чему в случае обнаружения опасных брешей в программе, ее пользователи могут вновь пострадать. Немного позже стало известно, что Редмонд полностью деактивировал ботнет, заразивший более 2 миллионов систем.
Источник: SecurityLab
|
