В начале лета 2015 года специалисты Eset зафиксировали повышенную активность семейства Spy.Agent.ORM. Программа распространялась с помощью набора эксплойтов через ряд скомпрометированных сайтов, а также в фишинговых рассылках, ориентированных на сотрудников финансовых учреждений из России и Украины, а также Центрального банка Армении.

Пользователям рассылались сообщения с вредоносными вложениями SCR-файлов или RTF-эксплойтов к уязвимостям Microsoft Office, включая одну из последних – CVE-2015-1770. Троян Win32/Spy.Agent.ORM открывает атакующим удаленный доступ к компьютеру жертвы. Программа подключается к управляющему серверу и выполняет различные команды: сделать снимок экрана, получить список запущенных процессов, собрать информацию о системе, загрузить исполняемый файл и др.

На связь трояна Spy.Agent.ORM и Carbanak указывают одинаковые фрагменты кода, которые встречаются в других вредоносных программах группы: «фирменном» инструменте Win32/Spy.Sekur и бэкдоре для кражи данных карт с PoS-терминалов Win32/Wemosis, замеченным в кибератаках на американские отели-казино, отмечают в Eset.

Все вышеуказанные программы были подписаны одним и тем же цифровым сертификатом, зарегистрированным на московскую компанию Blik. Один из новейших образцов трояна Spy.Agent.ORM, обнаруженных специалистами Eset, подписан цифровым сертификатом киевской компании In Travel.

Lockerpin предлагается в качестве видео для взрослых или приложения Porn Droid через неофициальные магазины приложений, сайты с пиратским программным обеспечением или торренты.

Lockerpin использует особый метод для получения и сохранения прав администратора – впервые для платформы Android. После установки троян пытается получить расширенные права скрытно, выводя на экран фальшивое окно «установки обновления». Нажав на любой элемент окна, пользователь активирует режим администратора устройства.

Далее вредоносная программа блокирует смартфон или планшет и устанавливает на экран блокировки новый PIN-код, не известный ни владельцу, ни злоумышленникам. Пользователю предлагается заплатить выкуп в размере 500 долл. «за просмотр и хранение порнографических материалов».

При этом Lockerpin использует агрессивные механизмы самозащиты. Если пользователь попытается отключить расширенные права программы, на экране устройства вновь появится окно «установки обновления». Более того, в Lockerpin предусмотрена функция завершения процессов антивирусных продуктов.

Единственным способом разблокировки экрана зараженного Lockerpin устройства без сброса до заводских настроек является получение Root-прав в системе или использование установленного антивирусного ПО.

Кибергруппа Carbanak специализируется на компрометации крупных организаций, в числе жертв – банки и трейдеры из России, США, Германии, Объединенных Арабских Эмиратов, Великобритании и некоторых других стран.

Группа Carbanak не ограничивается одним семейством вредоносных программ и сочетает несколько инструментов. Атакующие используют троян Win32/Spy.Agent.ORM (также известный как Win32/Toshliph), бэкдор Win32/Wemosis для кражи конфиденциальных данных карт с PoS-терминалов (PoS RAM Scraper backdoor), а также Win32/Spy.Sekur, предупредили в Eset. Все эти вредоносные программы основаны на разных кодовых базах, однако содержат некоторые общие черты, например, подписи на основе одного цифрового сертификата. Кроме того, атакующие пополнили арсенал последними эксплойтами для таких уязвимостей Microsoft Office как RCE CVE-2015-1770 и CVE-2015-2426, который размещался в утекших данных кибергруппы Hacking Team.

Вектором заражения может выступать фишинговое сообщение с вредоносным вложением в виде RTF-файла с различными эксплойтами или файла в формате SCR. Специалисты ESET наблюдали, в частности, образцы фишинговой рассылки на русском языке, адресованные сотрудникам компаний по обработке электронных платежей, Forex-трейдеров и других финансовых организаций. Среди названий вложенных вредоносных файлов из этих писем «АО «АЛЬФА-БАНК» ДОГОВОР.scr», «Перечень материалов для блокировки от 04.08.2015г.scr», «Postanovlene_ob_ustranenii_18.08.2015.pdf %много_пробелов%.. scr», «Правила Банка России от 06.08.2015.pdf %много_пробелов%. scr», prikaz-451.doc и другие.

80% ИТ-специалистов считают, что злоумышленники могут получить доступ к корпоративным данным через социальные сети. Это выяснила международная антивирусная компания Eset, опросив около 200 ИТ-специалистов и 1000 рядовых пользователей. 36% профессионалов в области ИТ также признали, что сети их компаний могут быть взломаны через аккаунты сотрудников, использующих социальные медиа на работе. Это связано с тем, что безопасностью соцсетей в корпоративной среде нередко пренебрегают.

В 12% организаций уже сталкивались с заражением вредоносными программами через соцсети. При этом 56% ИТ-специалистов считают, что принятые в компании правила использования этих сервисов в действительности не применяются.

На вопрос о причинах ограничения доступа к соцсетям в их компании 36% респондентов из числа рядовых пользователей предположили, что эта мера скорее повышает продуктивность труда, нежели предотвращает заражение корпоративной сети.

33% опрошенных пользователей признались, что когда-либо «лайкали» страницы на Facebook, чтобы поучаствовать в розыгрыше, и только 3% реально выигрывали призы. При этом 12% заявили, что не стали бы удалять свой «лайк» со страницы, даже если бы выяснилось, что розыгрыш – мошенничество.

В последние несколько дней пользователи WhatsApp активно пересылают друг другу сообщение о том, что сервис скоро станет платным, говорится в сообщении Eset.

По данным компании, в сообщениях также говорится, что для того, чтобы использовать мессенджер на прежних условиях, необходимо подтвердить свой статус активного пользователя, переслав предупреждение десяти контактам из своей адресной книги. В качестве автора исходного сообщения указан «Джим Бальзамик, генеральный директор WhatsApp».

«Пожалуйста, не игнорируйте это сообщение. В противном случае ваш аккаунт в WhatsApp будет удален в течение ближайших 48 часов, – говорится в спам-рассылке. – Если вы рассчитываете реактивировать аккаунт после удаления, учтите, что стоимость этой услуги составит 25 долл. Команда WhatsApp благодарит вас за сотрудничество».

Похожая спам-рассылка распространялась среди русскоязычной аудитории WhatsApp в 2013 году. Тогда неизвестные авторы утверждали, что пользователи, не подтвердившие статус, будут платить 0,01 евро за каждое новое сообщение, напомнили в Eset.

Настоящие условия использования WhatsApp представлены на официальном сайте программы. На данный момент мессенджер можно скачать бесплатно и пользоваться им в течение первого года. Далее стоимость подписки составляет 0,99 долл. в год.

Специалисты Eset рекомендуют игнорировать спам и не тратить время на его переадресацию. Нынешняя рассылка про WhatsApp безвредна и ведет только к расходу трафика, но в подобных сообщениях могут рассылаться и вредоносные ссылки.

Злоумышленники разместили в Steam несколько фальшивых страниц игр. Ряд подделок был обнаружен в разделе «Концепты» системы отбора игр Steam Greenlight, где новые проекты собирают отзывы потенциальных игроков. Страницы-клоны полностью копировали дизайн аутентичных игровых страниц, включая текстовые описания, логотипы, трейлеры и скриншоты. При этом выбрав поддельную игру в каталоге, пользователь перенаправлялся на страницу загрузки вирусной программы.

В числе игр, страницы которых подделали злоумышленники, Octopus City Blues. Создатели сообщили о клоне сразу же, как только его обнаружили, однако фальшивая страница оставалась доступна на протяжении длительного времени. Предупреждения пользователей, размещенные в комментариях, оперативно удалялись. Злоумышленники клонировали также страницы игр Street Fist 2 и Garlock Online. Подделки размещались в Steam Greenlight, как минимум, до конца марта.

Эксперты Eset обнаружили в популярных соцсетях множество спамерских сообщений, приглашающих принять участие в розыгрыше Apple Watch. Механика «розыгрыша» типична для фишинговых кампаний: перейти по ссылке на сторонний сайт, ответить на вопросы анкеты, поделиться ссылкой с друзьями и подписчиками.

Например, для одного из «розыгрышей» на Facebook была создана страница мероприятия. Участникам предлагалось оставить свои контактные данные и имя пользователя, а затем пригласить друзей присоединиться к мероприятию. Мошенники обещали вручить модель Apple Watch за 100 принятых приглашений, Apple Watch Sport – за 250 приведенных участников и премиальные Apple Watch edition – за 500 новых жертв.

Еще в одной мошеннической схеме, замеченной специалистами Eset, потенциальная жертва переходила по ссылкам на сторонние площадки, также созданные для кражи персональных данных, паролей и логинов. 

Спам про «Apple Watch в подарок» распространялся и в Twitter. В частности, ссылки на «розыгрыш» появлялись в твитах фальшивого аккаунта «Apple Giveaways».

Эксперты Eset рекомендуют пользователям не участвовать в распространении сомнительных ссылок и не оставлять персональные данные на подозрительных площадках.

По сведениям Eset, полученным в результате опроса мобильных пользователей, 30% из них никогда не блокируют смартфоны, около 20% – не выполняют резервное копирование, а 35,7% делают это лишь время от времени. Только 14,7% респондентов копируют файлы ежедневно, подключая смартфон к ПК, 19,9% выполняют бэкап каждую неделю и 10% – каждый месяц.

Кража или потеря смартфона с большой вероятностью может привести к утечке личной информации (фото, видео, сообщений, логинов и паролей). Однако около трети мобильных пользователей – 29,3% – не используют для защиты данных даже экран блокировки.

Впрочем, большинство участников опроса Eset все же соблюдают базовые меры предосторожности: 55,3% респондентов устанавливают PIN-код для разблокировки экрана, 12,5% предпочитают сканер отпечатка пальца, а 3% – технологию распознавания лиц. Опрос также выявил, что частные пользователи активно осваивают средства двухфакторной аутентификации, защищающие информацию от несанкционированного доступа. 64,9% респондентов сообщили, что указывают номер мобильного телефона при регистрации в онлайн-сервисах в качестве дополнительного способа аутентификации. Это особенно важно для защиты банковских операций – 53% участников опроса используют смартфоны для онлайн-банкинга.

Опрос Eset подтвердил также актуальность защиты облачных сервисов для пользователей смартфонов. 26,9% респондентов используют для копирования данных только «облака», а еще 23,1% совмещают локальное и облачное хранение.

16% опрошенных признались, что записывают аутентификационные данные на бумаге – в блокнотах, черновиках и на стикерах, не доверяя собственной памяти.

Многие участники опроса заменяют бумажные шпаргалки цифровыми. Так, 10% респондентов хранят пароли и PIN-коды в текстовых файлах на ПК или ноутбуках, а еще 4% создают для этой цели специальные заметки в смартфонах или планшетах. Еще 11% респондентов предпочитают специальные программные приложения – менеджеры паролей. Но большинство — 59% - выбрали вариант ответа «исключительно в голове».

Опрос проводился в январе-феврале 2015 года в официальных группах Eset Russia в социальных сетях и ИТ-портале «Мы Eset». В нем приняли участие около 800 пользователей.

Ежедневно приложение Eset Social Media Scanner находит свыше 28 тыс. вредоносных или подозрительных ссылок на Facebook и 10 тыс. – в Twitter. То, что пользователи рискуют наткнуться на вредоносную или потенциально опасную ссылку на Facebook в три раза чаще, чем в Twitter, в Eset объясняют большей популярностью этой соцсети у киберпреступников. У Facebook больше аудитория, к аккаунтам нередко привязаны банковские карты, а профили содержат много личной информации, включая домашний адрес, адрес электронной почты, геолокационные отметки.