Вы используете устаревший браузер!

Страница может отображаться некорректно.

Чисто почта

Чисто почта

Другие выпуски этой рубрики (45)
  • добавить в избранное
    Добавить в закладки

Если пристанет пристав

Прочитали: 12622 Комментариев: 95 Рейтинг: 108

28 декабря 2018

Получив вот такое письмо, автор этого выпуска сперва озадачился и начал вспоминать, нет ли у него каких-либо долгов:

#drweb

Но потом решил внимательно изучить сообщение.

#drweb

Первое, на что следует обратить внимание, – это адрес отправителя. Домен указан верно, это действительно сайт Федеральной службы судебных приставов, а вот в название почтового аккаунта закралась ошибка. Скорее всего, отправители письма хотели написать no-reply@fssprus.ru (reply – «ответ» по-английски), такие ящики часто используются для рассылки автоматических уведомлений, но получилось no-replay@fssprus.ru (replay переводится как «переигровка» или «повтор», если речь идет о трансляции).

Откроем технический заголовок письма.

#drweb

Ни намека на приставов! IP-адрес принадлежит гонконгскому провайдеру – как, собственно, и сайт netvigator.com. Отсюда вывод: даже если вы увидели в графе «Отправитель» знакомый адрес, это еще ничего не значит. Этому адресу доверять не стоит.

А теперь давайте посмотрим, куда ведет ссылка, которой нам предлагают воспользоваться, чтобы узнать подробности о задолженности. http://****espace.com/286899 — тут тоже нет ничего похожего на сайт федерального органа исполнительной власти.

#drweb

При попытке перейти по ссылке из письма открывается диалоговое окно с предложением загрузить некий архив scan173.zip. Причем этот архив располагается отнюдь не на том сайте, на который мы перешли, а совсем на другом ресурсе… Теперь уже в зоне .RU.

Попытка загрузки архива прерывается антивирусом, обнаружившим внутри вредоносную программу. Так как мы делаем всё это на специально подготовленной виртуальной машине, продолжим эксперимент и отключим антивирус.

#drweb

Не экспериментируйте с подобными файлами на своем компьютере! Все описываемые действия проводятся в специально созданной закрытой виртуальной среде.

В архиве – еще один архив, а в нем – исполняемый .JS файл. Загружаем его в облачный анализатор Dr.Web vxCube и видим следующую картину:

#drweb
#drweb
#drweb

Похоже, находящийся в архиве JavaScript является загрузчиком вредоносной программы.

В том, что запуск этого скрипта не принесет ничего хорошего, мы не сомневались с самого начала, так что давайте оставим его и повнимательнее изучим схему распространения.

Архив загрузился на компьютер с интернет-сайта ******technology.ru. Это достаточно любопытный ресурс. На главной странице написано, что он принадлежит профессору «Т». Беглый поиск в сети показывает, что такой профессор действительно существует и проживает на территории Казахстана.

#drweb

Вот только непонятно, принадлежит ли ему этот сайт на самом деле. Весь ресурс состоит из одной страницы, а при попытке кликнуть по любой кнопке или ссылке происходит загрузка того самого архива с вредоносным содержимым. Судя по всему, единственное предназначение сайта – распространение вредоносных программ. При этом ресурс располагается на технических площадях одного из крупнейших российских провайдеров.

Но мы ведь помним, что ссылка из письма вела на другой, промежуточный ресурс. Давайте заглянем и туда. Сайт *****space.com – это… сайт французского сантехника… По крайней мере, такое впечатление он должен создавать.

#drweb

Но если приглядеться, становится заметно, что на странице отсутствует какая бы то ни было контактная информация, а при попытке нажать на кнопку… загружается архив с вредоносным содержимым с того самого русскоязычного сайта.

#drweb

Можно было бы предположить, что эти сайты взломаны, но что-то подсказывает, что они были целенаправленно созданы для распространения вредоносных программ, а все упомянутые на них лица, начиная с профессоров и заканчивая сантехниками, – лишь ширма.

#почта #мошенничество #социальная_инженерия #Dr.Web_vxCube

Антивирусная правДА! рекомендует

Электронные рассылки часто используются для распространения вредоносных программ. Злоумышленники нередко прикрываются громкими именами и наименованиями государственных органов, чтобы убедить пользователя в необходимости совершения каких-либо действий.

Не торопитесь. Будьте спокойны и рассудительны. Изучите письмо, обращая внимание на правильность имеющихся в нем ссылок. Не скачивайте и не запускайте никакие файлы – вне зависимости от того, приложены ли они к письму или доступны по ссылкам.

Не отключайте антивирус и не забывайте устанавливать обновления.

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: