Специалисты с Запада удивлены вредоносной программой-подделкой XP Antivirus 2008, следы которой ведут на Украину. Редактор TechNet Magazine Джеспер Йоханссон опубликовал подробный разбор хитростей этой программы.
По материалам следствия, летом отмечена новая волна спама в блогах и форумах, с призывами посетить сайты типа google-homepage.google-us.info, msn-us.info, yahoo-us.info и тому подобные. Домены были зарегистрированы на Украине. Если пользователь идет по такой ссылке, его перебрасывает на сайт Virus-securityscanner.com (или другой похожий). Одновременно возникает окно с предупреждением, что на компьютере найдены вирусы.
Далее предлагается установить антивирус XP Antivirus 2008, чтобы излечиться. На самом деле, в скачиваемом файле содержится загрузчик трояна Trojan-Downloader.Win32.FraudLoad.gen.
Аналогичные версии лже-антивирусов “от Microsoft” попадались и раньше, но их мошенничество на этом этапе и заканчивалось – троян либо крал персональные данные, либо удаленно управлял компьютером (например, для DDoS-атаки). В данном же случае, пользователю инсталлируется очень правдоподобная версия антивируса.
Программа предлагает ознакомиться с лицензионным соглашением, а затем создает поддельный Windows Security Center. И даже дает ссылку на свой “официальный сайт”, где имеются руководства пользователя и форум техноддержки. Это сайт xpantivirus.com, зарегистрированный на жителя Одессы. Сайт до сих пор работает. Изучение его данных whois позволяет обнаружить еще множество аналогичных сайтов-подделок (virus-webscanner.com, onlinexpscanner.com и т.д.)
Установившись, вредоносный антивирус начинает пугать пользователя найденными “вирусами”, изображает их “устранение” – а заодно напоминает, что надо зарегистрироваться и заплатить за полученный софт ($49.95 плюс еще дополнительные услуги). Для оплаты также создан ряд поддельных сайтов.
А на самом деле настоящая антивирусная программа от Microsoft (Malicious Software Removal Tool) не обнаружила вредоносную.
В итоге можно сделать вывод, что столь правдоподобная подделка может легко обмануть многие тысячи пользователей. В данном примере троян не проделывает особо опасных действий – но поскольку он контролирует компьютер, он вполне может загружать и другие вредные коды. Сайты, откуда распространяется зараза, постоянно меняются, и сам вредоносный код меняется тоже.
Редактор TechNet Magazine считает, что ни один настоящий антивирусный сайт не должен удаленно сканировать ваш компьютер прямо во время захода на сайт, или предлагать пользователю сразу же загрузить софт, без предоставления детальной информации. По мнению эксперта, это признак криминальных сайтов.
При этом, возражая, читатели журнала привели в пример… саму компанию Microsoft, которая продвигает именно такой онлайновый сканнер Live OneCare. Так что перепутать действительно легко.
