हमलावर Win32 / Bicololo का अधिक सक्रिय रूप से उपयोग करते हैं

हमारी खतरे की रेटिंग में, इस वर्ष, Win32 / बिसोलोलो ट्रोजन विभिन्न गतिविधियों के आँकड़ों के साथ सभी मासिक रिपोर्टों में मौजूद है। इस तथ्य के बावजूद कि पिछले कुछ महीनों में खतरे की गतिविधि में गिरावट आई है, हमने इस दुर्भावनापूर्ण लिंक की संख्या में वृद्धि दर्ज की है जो इस मैलवेयर को स्थापित करने के लिए उपयोग किया जाता है। इस तरह के लिंक ग्राफिक छवि फ़ाइलों के रूप में प्रच्छन्न हैं।



इसी तरह के लिंक साइबर अपराधियों द्वारा विभिन्न सामाजिक सेवाओं और दूतों में भेजे गए थे। लिंक पर क्लिक करते समय, ब्राउज़र उपयोगकर्ता को फ़ाइल को हार्ड ड्राइव में सहेजने का संकेत देता है, जबकि आप देख सकते हैं कि डाउनलोड किए गए एक्सटेंशन में .scr , और .jpg नहीं है। जब आप ऐसी "स्क्रीन सेवर" फ़ाइल चलाते हैं, तो आप देख सकते हैं कि इस प्रोग्राम में सिस्टम द्वारा किए गए परिवर्तन (मेजबान सिस्टम फ़ाइल के संशोधन सहित) संभावित दुर्भावनापूर्ण कार्यों पर संकेत देते हैं।



यह देखा जा सकता है कि बनाई गई दुर्भावनापूर्ण प्रक्रिया कई अस्थायी फाइलें बनाती है, साथ ही 5 सहायक फाइलें भी। विजुअल बेसिक स्क्रिप्ट में दो फाइलें स्क्रिप्ट होती हैं। फ़ाइलों को लिखने के बाद, यह बनाई गई बैच फ़ाइल को निष्पादित करने के लिए कमांड लाइन दुभाषिया को निष्पादित करने के लिए एक सहायक प्रक्रिया बनाता है। इस बैच फ़ाइल turtsia.bat ने पहली स्क्रिप्ट, soex.vbs लॉन्च की है। इसके लिए, अंतर्निहित wscript.exe उपकरण का उपयोग किया जाता है।



ProcMon लॉग दिखाता है कि यह स्क्रिप्ट कोई महत्वपूर्ण कार्य नहीं करती है। इसके बाद, दूसरा just_do_iti.vbs स्क्रिप्ट निष्पादित की जाती है। यह स्टार्टअप तत्व में दुर्भावनापूर्ण कोड स्थापित करता है, काम के लिए आवश्यक अतिरिक्त फ़ाइलें बनाता है, और समाप्त करता है।

इसके बाद, होस्ट फ़ाइल को सामाजिक सेवाओं को पुनर्निर्देशित करने के लिए संशोधित किया गया है। फ़िशिंग संसाधनों के लिए नेटवर्क।



इस ऑपरेशन के परिणामस्वरूप, उपयोगकर्ता, जब सामाजिक नेटवर्क VKontakte पर जाता है, तो मूल के समान एक पृष्ठ पर पुनर्निर्देशित किया जाता है। प्रमाणपत्र की जानकारी के बिना https में स्विच करने के लिए भाषा और अक्षमता को बदलने में असमर्थताएं हैं। निम्नलिखित एक फ़िशिंग पृष्ठ है।



उसी समय, मूल साइट पर, आप बिना किसी समस्या के https पर स्विच कर सकते हैं।



यह ध्यान दिया जाना चाहिए कि Win32 / Bicololo रूस पर केंद्रित है, यह दुर्भावनापूर्ण कोड द्वारा लक्षित सामाजिक सेवाओं में, साथ ही साथ इसके वितरण भूगोल में भी देखा जा सकता है।



नीचे 2013 में बिकोलोलो गतिविधि के आंकड़े दिए गए हैं।