Эксплойт, обнаруженный сканером Panda Software, помог антивирусным инженерам
компании выявить Mpack - программу, которая используется для загрузки вредоносного
ПО на удаленные компьютеры за счет эксплуатации многочисленных уязвимостей.
Mpack уже использовался в нескольких случаях. Одна из версий, к которой
удалось получить доступ PandaLabs, была использована для заражения 160,000
компьютеров. Данная утилита продается на онлайновых форумах за $700. С каждой
версией создатели предлагают бесплатную годовую поддержку. “Mpack содержит
функции, которые обычно включаются в легальные приложения. Например, обновления
клиента. В роли обновлений выступают другие версии приложения, которые на
самом деле являются эксплойтами, необходимыми для того, чтобы воспользоваться
самыми новыми обнаруженными уязвимостями. Обычно выходит по одному обновлению
в месяц, а их стоимость колеблется от $50 до $150,” объясняет Луис Корронс,
технический директор PandaLabs. Еще за $300 клиентам предлагается приобрести
DreamDownloader. Это утилита, предназначенная для создания загрузочных троянов.
Она работает следующим образом: хакер сообщает DreamDownloader URL, в котором
расположен нужный файл (троян, червь, обновление вредоносного ПО и др.),
а утилита затем автоматически генерирует исполняемый файл для его загрузки.
“Две этих утилиты являются взаимодополняемыми. Первая позволяет Вам заразить
пользователя с помощью выбранного вредоносного кода. Вторая, в свою очередь,
позволяет Вам создать этот код, также предназначенный для дальнейшей загрузки
другого вредоносного ПО,” добавляет Корронс. Атаки Mpack Mpack заражает
скрыто. Кибер-преступники используют несколько технологий для того, чтобы
заставить пользователя запустить вредоносный файл. В случае с веб-серверами,
они обычно добавляют в конце i-кодированную ссылку на файл, загружаемый
по умолчанию и содержащий классификационную страницу, на которой установлен
Mрack. Иногда они используют тот же самый взломанный сайт для размещения
Mpack или других видов вредоносного ПО. Они размещают вредоносное ПО на
серверах третьих сторон для того, чтобы скрыть свои следы. Согласно другой
технологии заражения, они размещают на хостовых веб-страницах определенные
слова, обычно это слова, которые наиболее часто используются при поиске.
Таким образом, такие страницы попадают в список найденных поисковыми движками,
а пользователи, выполняющие поиск, имеют все шансы попасть на сайт, содержащий
Mpack, и заразиться. Есть еще один способ заражения – покупка доменов с
названиями, похожими на названия известных сайтов. Например, gookle, в котором
лишь одна буква отличается от наименования известного поисковика google.
Пользователи, которые по ошибке ввели неправильную букву, могут стать жертвами
данного вредоносного кода. И, в конечном итоге, еще остается спам. Электронные
сообщения обычно содержат ссылки, а для перехода по ним используются методы
социальной инженерии. Сразу после проникновения в компьютер, код запускается
и собирает данные о зараженном ПК (браузер, операционная система и др.).
Такая информация затем пересылается на сервер, где и хранится.