Fauxpersky: новое вредоносное ПО, выпущенное в 2018 году

Цифровизация значительно повысила уровень нашей жизни, сделав работу проще, быстрее и надежнее. Но тогда ведение всех записей на компьютере и обработка через Интернет - это как монета с двумя разными сторонами. У бесчисленных преимуществ есть несколько заметных недостатков, особенно у хакеров и их инструментов, известных как вредоносное ПО. Новейшим пополнением в этом большом семействе вредоносных программ является Fauxpersky. Хотя он рифмуется со знаменитым российским антивирусом «Касперский», но здесь их пути расходятся. Fauxpersky маскируется под Kaspersky и предназначен для кражи пользовательской информации и отправки ее хакерам через Интернет. Он распространяется через USB-накопители, заражая компьютер пользователя, улавливая все нажатия клавиш, как кейлоггер, и, наконец, отправляет его в почтовый ящик злоумышленника через Google.Формы. Логика названия этой вредоносной программы проста. Все, что сделано в имитации, будет называться Faux, следовательно, имитация Kaspersky будет Faux - Kaspersky или Fauxpersky.

Чтобы понять процесс выполнения этого вредоносного ПО, давайте сначала проверим его различные компоненты:

Key Logger

Google определяет компьютерную программу, которая записывает каждое нажатие клавиши пользователем компьютера, особенно для получения мошеннического доступа к паролям и другой конфиденциальной информации. Однако при первоначальной разработке Keylogger служил цели для родителей, которые могли отслеживать онлайн-активность своих детей, а также для организаций, где работодатели могли определять, работают ли сотрудники над желаемыми задачами, возложенными на них.

Читайте также: -

Как защитить себя от кейлоггеров Кейлоггеры опасны, и чтобы оставаться в безопасности, нужно всегда обновлять программное обеспечение, использовать экранные клавиатуры и следить за всеми ...

AutoHotKey

AutoHotkey - это бесплатный настраиваемый язык сценариев с открытым исходным кодом для Microsoft Windows, изначально нацеленный на предоставление простых сочетаний клавиш или горячих клавиш, быстрое создание макросов и автоматизацию программного обеспечения, что позволяет пользователям с большинством уровней компьютерных навыков автоматизировать повторяющиеся задачи в любом приложении Windows. Из Википедии, бесплатной энциклопедии.

Google Формы

Google Forms - одно из приложений, входящих в пакет онлайн-офисных приложений Google. Он используется для создания опроса или вопросника, который затем рассылается желаемой группе людей, а их ответы записываются в единую электронную таблицу для аналитических целей.

Касперский

Kaspersky - известный российский антивирусный товарный знак, который разработал антивирус, интернет-безопасность, управление паролями, безопасность конечных точек и другие продукты и услуги для кибербезопасности.

Там, как иногда говорят, «слишком много хорошего может сделать большое плохое».

Рецепт Fauxpersky

Fauxpersky был разработан с использованием инструментов AutoHotKey (AHK), которые считывают все тексты, введенные пользователем из Windows, и отправляют нажатия клавиш в другие приложения. Метод, используемый кейлоггером AHK, довольно прост; он распространяется посредством техники самовоспроизведения. После запуска в системе он инициирует сохранение всей информации, введенной пользователем, в текстовый файл с именем соответствующего окна. Он работает под маской Kaspersky Internet Security и отправляет хакеру всю информацию, записанную при нажатии клавиш, через Google Forms. Метод извлечения данных необычен: злоумышленники собирают их из зараженных систем с помощью форм Google, не вызывая никаких сомнений в решениях безопасности, анализирующих трафик, поскольку зашифрованные соединения с docs.google.com не выглядят подозрительными. После отправки списка нажатий клавиш он удаляется с жесткого диска, чтобы предотвратить обнаружение. Однако после заражения системы вредоносная программа снова загружается после перезагрузки компьютера. Он также создает ярлык для себя в каталоге автозагрузки меню «Пуск».

Поддельный: Modus Operandi

Процесс первоначального заражения еще не определен, но после того, как вредоносная программа компрометирует систему, она сканирует все съемные диски, подключенные к компьютеру, и реплицируется на них. Он создает папку в% APPDATA% с именем « Kaspersky Internet Security 2017 » с шестью файлами, четыре из которых являются исполняемыми и имеют то же имя, что и системный файл Windows: Explorers.exe, Spoolsvc.exe, Svhost.exe и Taskhosts.exe. Два других файла - это графический файл с логотипом антивируса Касперского и еще один текстовый файл с именем readme.txt. Четыре исполняемых файла выполняют разные функции:

• Explorers.exe - распространяется с хост-компьютеров на подключенные внешние диски посредством дублирования файлов.
• Spoolsvc.exe - изменяет значения реестра системы, что, в свою очередь, не позволяет пользователю просматривать все скрытые и системные файлы.
• Svhost.exe - использует функции AHK для мониторинга текущего активного окна и регистрации любых нажатий клавиш, введенных в это окно.
• Taskhosts.exe - используется для окончательной загрузки данных.

Все данные, записанные в текстовый файл, отправляются на почтовый ящик злоумышленника через формы Google и удаляются из системы. Кроме того, данные, передаваемые через Google Forms, уже зашифрованы, поэтому загрузка данных Fauxpersky не вызывает подозрений в различных решениях для мониторинга трафика.

Компании Cybereason, занимающейся кибербезопасностью, приписывают обнаружение этого вредоносного ПО, и хотя оно не указывает, сколько компьютеров было заражено, но с учетом того, что разведданные Фасперского распространяются через старомодный метод совместного использования USB-накопителей. Как только Google получил уведомление, он немедленно ответил, сняв форму со своих серверов в течение часа.

Удаление

Если вы чувствуете, что ваш компьютер тоже заражен, просто войдите в папку «AppData», войдите в папку «Роуминг» и удалите файлы, относящиеся к Kaspersky Internet Security 2017, и сам каталог из каталога автозагрузки, расположенного в меню «Пуск». Также рекомендуется изменить пароли служб, чтобы избежать несанкционированного использования учетных записей.

Даже с новейшим антивирусным ПО, которое можно купить за деньги, было бы неправильно думать, что наша личная информация, хранящаяся на наших компьютерах, безопасна, потому что вредоносные программы часто создаются активистами социальной инженерии во всем мире. Разработчики защиты от вредоносных программ могут постоянно обновлять определения вредоносных программ, но не всегда на 100% возможно обнаружить аномальное программное обеспечение, созданное блестящими умами, которые заблудились. Лучший способ предотвратить проникновение - посещать только проверенные веб-сайты и соблюдать крайнюю осторожность при использовании внешних накопителей.