PandaLabs: новый троян крадет пароли PayPal

На этой неделе в традиционном отчете PandaLabs рассматриваются три вредоносных кода: троян PayRob.A, утилита Icepack и червь Chasnah.A.

Троян PayRob.A предназначен для кражи данных из учетных записей PayPal. Как и большинство троянов, PayRob.A не способен распространяться самостоятельно, для этого ему необходимо вмешательство хакера. После запуска, PayRob.A присваивает себе атрибуты скрытого файла и редактирует реестр Windows, для того чтобы запускаться при каждой загрузке системы.

Троян создает на зараженном компьютере две своих копии - одну в папке временных файлов интернета, а вторую - в C:\WINDOWS\MSAPPS\. Если в системе не обнаружена последняя директория, пользователь видит сообщение об ошибке.

Кроме того, он помещает копию файла под названием modeexpinovo.txt в папку с временными интернет-файлами. В этом текстовом файле хранятся все пароли PayPal, найденные трояном в зараженной системе. Хакеры могут получать удаленный доступ к этому файлу с определенного интернет-хоста.

Следующим в отчете рассматривается червь Chasnah.A, который демонстрирует сообщения на индонезийском языке при авторизации пользователя, а также время от времени открывает веб-страницу какой-нибудь индонезийской организации.

Этот червь использует для своего распространения папки совместного доступа и USB-устройства. После запуска, Chasnah.A создает в зараженной системе несколько файлов, а также несколько записей в реестре Windows. Далее при каждом входе пользователь видит сообщение на английском и индонезийском языках.

Следует также отметить, что Chasnah.A снижает уровень защиты системы за счет блокировки запуска некоторых приложений безопасности, а также время от времени проверяет, нет ли подключенных к компьютеру USB-устройств, которые можно заразить.

Последней рассматривается вредоносная утилита IcePack, предназначенная для инсталляции вредоносного ПО с помощью эксплойтов. Icepack заражает компьютеры следующим образом: утилита получает доступ к определенной веб-странице, куда она добавляет iframe-ссылку, ведущую на сервер, на котором установлено данное приложение.

Основное отличие Icepack заключается в том, что такую ссылку добавляет сама утилита. Предыдущим приложениям, таким как Mpack, были необходимы действия хакера, который вручную осуществлял доступ к веб-страницам, на которые затем добавлялась ссылка.

При посещении таких искаженных страниц пользователями, активируется Icepack, которая анализирует компьютер пользователя на предмет уязвимостей. При положительном результате, она скачивает из сети эксплойт, необходимый для использования имеющейся в компьютере уязвимости.

Еще один отличительный признак Icepack - это то, что она использует эксплойты, соответствующие самым последним выявленным уязвимостям. После этого киберпреступники могут загружать на зараженные компьютеры любое вредоносное ПО. Другое нововведение в Icepack заключается в том, что она сочетает в себе программу проверки ftp и iframe.