Как спрятаться на видном месте

Незваные гости

добавить в избранное

Как спрятаться на видном месте

Прочитали: 9084 Комментариев: 117 Рейтинг: 118

19 декабря 2017

Сегодня сижу за компом... Из старой
пластмассовой компьютерной колонки
вылез паук, посмотрел по сторонам и
обратно уполз в колонку... Первая
мысль - Доктор Веб... Обновления
проверял...))

Древняя история

Фразу «злоумышленники постоянно изобретают новые методы сокрытия» уже пора сократить до аббревиатуры – настолько часто мы ее употребляем. Но иногда речь идет не просто о новых, а об очень оригинальных методах!

Исследователи в области безопасности обнаружили новую технику, которая позволяет недобросовестным веб-сайтам добывать валюту, используя процессоры пользователей, даже после того, как пользователь закрыл окно такого сайта.

Вредоносный скрипт открывает невидимое всплывающее окно типа pop-under, которое скрывается за часами на панели задач Microsoftinfo-icon Windows.

Окно остается открытым неограниченное время, пока пользователь не предпримет специальные действия, чтобы закрыть его.

Координаты окна могут немного отличаться, в зависимости от разрешения экрана на компьютере жертвы, но в оно помещается за часами. Правда, есть один нюанс. Если в операционной установлена тема оформления с полупрозрачностью, то окошечко всё-таки слегка просматривается за панелью (см. скриншот в начале статьи).

«Обнаружить такой способ скрытого майнинга довольно трудно, так как он ловко маскируется. Закрытия браузера уже недостаточно, пользователи должны будут запустить диспетчер задач, чтобы убедиться, что не осталось процессов, использующих ресурсы их компьютеров», — пишет в блоге Malwarebytes ведущий аналитик Жером Сегура (Jérôme Segura).

Вредоносная цепочка имеет следующий вид — загружается страница, размещенная на elthamely[.]com, затем загружаются ресурсы из сети доставки контента Amazon cloudfront.net. После этого извлекается полезная нагрузка из hatevery[.]info.

https://www.anti-malware.ru/news/2017-11-30-1447/24962

https://geektimes.ru/post/296007

Замести мусор в угол, где никто не ходит, – и дело в шляпе!

Дополнительно отметим, что новый майнер ведет себя осторожно и не использует ресурсы компьютера на 100%. Так пользователь может и не заметить, что компьютер слегка притормаживает.

Ну и в качестве вишенки на торте:

Специалисты по безопасности совершенно случайно наткнулись на этот трюк при посещении одного из порносайтов.

https://geektimes.ru/post/296007

Что они там делали – не рассказывается.

#майнинг #троянец #безопасность

Антивирусная правДА! рекомендует

В данном случае в роли антивируса выступает Родительский контроль Dr.Web: он позволяет заблокировать все ресурсы, к которым пытается обращаться майнер. Естественно, можно вносить домены, с которыми работает майнер, в черный список вручную, но толку от этого немного – новые варианты майнера будут использовать новые домены. Гораздо проще установить Dr.Web Security Space.

P. S. И еще одна вишенка на торт: как оказалось, об этом троянце не знает никто!

https://www.virustotal.com/#/file/fd472bd04c01a13bf402775441b0224edef4c062031e292adf41e5a5897a24bc/detection

«Антивирусная правДА!» предполагает, что кто-то ошибся с индикаторами заражения.

Оцените выпуск

Чтобы проголосовать зайдите в аккаунт на сайте или создайте его, если аккаунта еще нет.

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.

Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Slava90
13:53:00 2020-06-01

Спасибо за стать, полезную и интересную информацию.

Денисенко Павел Андреевич
23:33:29 2018-08-02

Всегда и во всем нам помогает Dr.Web.

Неуёмный Обыватель Собкор
17:34:43 2018-06-16

Хорошо Глебу, и он не майнит и его не майнят

vasvet
15:42:03 2018-04-04

Что то эти майнеры уже досаждать начинают.

regiser
16:19:35 2018-01-04

Чем дальше тем хуже. Куда деваться простому пользователю от всего этого. Не может же каждый курсы по безопасности пройти

RussAtom
17:00:30 2017-12-27

Использую Linux с Dr.Web. Удивляюсь, читая статьи о различных вирусах и т.д. Последний раз цеплял вирус лет 9 назад, использовал Windows + Касперский. После того случая ушёл на Linux и Dr.Web. Использование пк теперь одно удовольствие, без всяких танцев с бубном.

Littlefish Собкор
19:04:59 2017-12-23

Спустя 5 дней детекта от Malwarebytes всё равно нет, но ещё 4 антивируса стали определять майнера, судя по virustotal.

Любитель пляжного футбола Собкор
14:07:34 2017-12-20

@Sasha50, да это я понял, это была шутка с моей стороны. :)

udginvr
10:44:09 2017-12-20

@МЕДВЕДЬ, Наверное потому что на АВП не добавляются скучные и унылые комментарии :)

ZorG
03:10:25 2017-12-20

Две недели назад кто-то из пользователей на компьютер знакомой занес интересного вредоноса: став разносчиком заразы компьютер гробил флешки, пряча информацию. При открытии устройства в проводнике был виден только ярлык на это устройство. Переходя по ярлыку пользователь инфицировал свой компьютер, ярлык запускал командную строку и только после этого открывал окно с содержимым флешки как ни в чем ни бывало. А флешка периодически хитро подмигивала. При повторном подключении ситуация повторялась. Я поругал знакомую за беспечность и отсутствие защиты и посоветовал провериться утилитой Dr.Web CureIt! Утилита ничего не нашла! Удивившись я попросил передать мне инфицированную флешку, а получив успешно про нее забыл.
Сегодня прочитав статью вспомнил про устройство. Велико же было мое удивление.
Улов ждал в скрытой папке флешкарты \Winset : install.vbs (VBS.BtcMine.16), move.vbs (VBS.BtcMine.15), help.vbs (Trojan.Siggen7.26874)
ИМХО Ставьте DrW SS!
Кстати утилита Dr.Web CureIt! на сегодняшний день детектирует и обезвреживает этих паразитов, но проблему, по словам знакомой, не устраняет.

Sasha50 Собкор
02:41:36 2017-12-20

@Любитель_пляжного_футбола, сомневаюсь, что это честные майнеры. Опять какой-нибудь развод не в мою пользу.

razgen Собкор
01:49:00 2017-12-20

Уже начинает входить в традицию, опубликование в выпусках "Антивирусной правДЫ" иронично-шутливых плакатов, но в то же время при этом носящих поучительно-предостерегающий смысл. Забавно и полезно!

razgen Собкор
01:38:21 2017-12-20

Пaвeл, "Не забываем использовать Родительский контроль Dr.Web!"
Спасибо за напоминание. Родительский контроль настроил в соответствии с рекомендациями предыдущих выпусков "Антивирусной правДЫ!". Но особенно поучительна в этом плане наглядная помощь 11-ти обучающих видеоуроков находящихся на сайте DrWeb.

razgen Собкор
01:16:41 2017-12-20

Пока не приходилось наблюдать ничего подозрительного, что могло бы натолкнуть на мысль о майнере который использует ресурсы моего компьютера. Думаю всему причиной, установленный у меня антивирус Dr.Web Security Space11, который пресекает всё зло в корне.

МЕДВЕДЬ
01:06:31 2017-12-20

Дп,что ж такое,почему я не могу оставить комментарий???

razgen Собкор
00:38:51 2017-12-20

Littlefish, 23:49:13 2017-12-19
@Sasha50, вот никак не угадаю с какой стороны комментарии читать. Каждый раз читал от последних к самым первым (но иногда не совсем понятно, так как вначале читаешь ответ, а потом вопрос на этот ответ). Сегодня решил почитать с конца и не увидел, что на Ваш вопрос Вам уже ответили :-)
---
Если принципиально, то большой разницы с какой стороны читать нет. Просто надо внимательно всё прочитать до конца.

razgen Собкор
00:35:30 2017-12-20

Littlefish 16:54:03 2017-12-19
@Sasha50, "Кстати, какой нынче выпуск по счету? И как узнавать в дальнейшем?"
Сейчас 463-й, узнавать можно по адресной строке, ?number=463
---
На этот вопрос уже было два ответа. А два ответа на один вопрос по той причине, что по чисто случайному совпадению ответы были отправлены одновременно в 09:26, 2017-12-19.

razgen Собкор
00:21:07 2017-12-20

@vinnetou, с Днём рождения! Всего наилучшего!

Ruslan
23:50:24 2017-12-19

Спасибо за интересный и познавательный выпуск!

Littlefish Собкор
23:49:13 2017-12-19

@Sasha50, вот никак не угадаю с какой стороны комментарии читать. Каждый раз читал от последних к самым первым (но иногда не совсем понятно, так как вначале читаешь ответ, а потом вопрос на этот ответ). Сегодня решил почитать с конца и не увидел, что на Ваш вопрос Вам уже ответили :-)

Littlefish Собкор
23:32:53 2017-12-19

Интересный факт, к концу дня ничего не поменялось - только пять антивирусных решений детектируют майнер из 59 представленных на virustotal.

Littlefish Собкор
23:25:33 2017-12-19

Забыл похвалить плакат, исправляюсь - весёленький и креативный, понравился.

Littlefish Собкор
23:21:56 2017-12-19

@user, какой-то пессимистичный у Вас прогноз.
Антивирусным компаниям это будет не выгодно, в наше время репутация - это всё, если компанию "поймают" на подобных вещах, то львиная доля пользователей уйдёт к конкурентам, а сама компания может обанкротиться и перестать существовать.

Marsn77
23:21:35 2017-12-19

Криптовалюта набирает популярность. А если активно использовать компьютер без антивируса несколько месяцев, сидя в Интернете, он практически гарантированно становится майнером.

Littlefish Собкор
23:15:33 2017-12-19

@Геральт, "Мне майнинг не страшен, так как у меня установлен Доктор Веб SS11".
О, новая аббревиатура начинает приживаться :-)

Andromeda
23:06:47 2017-12-19

Интересный майнер: не жадничает и не использует ресурсы полностью. Такого простой пользователь и не обнаружит. Без антивируса не обойтись.

Альфа
22:36:49 2017-12-19

Да, действительно, очень оригинальный метод. А ещё мне плакатик понравился.

Геральт Собкор
22:21:09 2017-12-19

Мне майнинг не страшен, так как у меня установлен Доктор Веб SS11.

В...а
22:20:29 2017-12-19

ИГра в прятки будет постоянно, надо антивирусу успевать найти вовремя!

vla_va
22:08:44 2017-12-19

Вишенки на торте очень показательны!

user
22:05:39 2017-12-19

Ну что нас ждёт дальше? Направить часть ресурсов антивируса на майн критповалюты, остальную часть посвятить поиску вирусов и предотвращению инцидентов. Пользователи научены устанавливать обновления и слепо доверять антивирусу. А дальше дело техники.

Maat
21:58:12 2017-12-19

@Littlefish, ну вообще-то логичное сокращение от полного названия Security Space (SS). А вот кто что с ним ассоциирует вопрос другой :)

AxooxA
21:52:56 2017-12-19

@Littlefish, а если сократить полностью до DW SS будет еще более интересное звучание...

AxooxA
21:49:28 2017-12-19

@Вячeслaв, да я просто не понял пассаж про "можно вносить домены в черный список (Родительского контроля) вручную", но "Гораздо проще установить Dr.Web Security Space"

Littlefish Собкор
21:49:13 2017-12-19

@Кирилл, "Не можем же мы историю переписывать".
Так я ж не переписывать предлагал, а дополнить :-)

Littlefish Собкор
21:45:46 2017-12-19

@Maat, "...Drweb SS...".
Весьма необычное сокращение, специфическое звучание.

НинаК
21:45:34 2017-12-19

Подход хитрый, но антивирус молодец!

ek
21:17:12 2017-12-19

Как не прятался, а был найден

Damir Собкор
21:07:01 2017-12-19

Интересная информация к размышлению.

Lia00 Собкор
20:48:19 2017-12-19

да уж, чего только не придумают

orw_mikle
20:34:45 2017-12-19

Как раз мы гораздо проще и сделали, установили Dr.Web Security Space.

zsergey
20:33:38 2017-12-19

Нужно быть всегда настороже. А Доктор в этом помогает!

Mehatronik
20:31:40 2017-12-19

Видел еще - некоторые интернет-страницы так открываются

kva-kva
20:29:24 2017-12-19

Идея конечно интересна запрятать окошко вредное! Хорошо, что найдется оно стражем все равно

Шалтай Александр Болтай Собкор
19:46:04 2017-12-19

— Как поймать зайца? — Надо спрятаться за деревом и издавать звук морковки.

mk.insta
19:37:31 2017-12-19

Необычный выпуск, но интересно!

sapfira
18:38:10 2017-12-19

Родительский контроль очень полезная штука на практике.

Марина
17:46:11 2017-12-19

<<Ну и в качестве вишенки на торте:
Специалисты по безопасности совершенно случайно наткнулись на этот трюк при посещении одного из порносайтов.
Что они там делали – не рассказывается.>>

Не первый раз вижу в "АП" странный акцент на теме порно. Будто это что-то постыдное. От этой акцепции нафталином несёт за версту, если честно. "Специалисты по безопасности" на эту тему вообще не парятся, а авторов "АП" почему-то цепляет.

Кирилл
17:16:56 2017-12-19

@Littlefish, этот скриншот уже исторический документ :) Не можем же мы историю переписывать.

Littlefish Собкор
16:54:03 2017-12-19

@Sasha50, "Кстати, какой нынче выпуск по счету? И как узнавать в дальнейшем?"
Сейчас 463-й, узнавать можно по адресной строке, ?number=463

Комментарии к другим выпускам | Мои комментарии

Главная

Выпуски

Рубрики

Рейтинг

О проекте

Статистика

Избранное

Инструменты

Антивирусная правДА!TM

Как спрятаться на видном месте

Антивирусная правДА! рекомендует

Нам важно ваше мнение

Комментарии пользователей