Request Support  | Contact Sales

Diventa Autore per CoreTech | Scopri di più





Doctor Web: panoramica sulle attività dei virus ad ottobre 2017

08/11/17 CoreTech News

×Non sei ancora nostro cliente DrWeb? Diventa Partner CoreTech e visita il nostro configuratore prezzi

L'ottobre del 2017 sarà ricordato non soltanto dagli specialisti di sicurezza informatica, ma anche da tutti gli utenti di Internet per la comparsa di un nuovo worm cryptolocker che ha ricevuto il nome di Trojan.BadRabbit. Questo trojan ha cominciato a diffondersi il 24 ottobre e ha attaccato computer principalmente nel territorio della Russia e dell'Ucraina.

Ad ottobre gli analisti dei virus Doctor Web hanno esaminato un backdoor scritto nel linguaggio Python. Questo programma malevolo è in grado di carpire informazioni dai browser popolari, di registrare le battiture sulla tastiera, di scaricare e salvare diversi file sul computer infetto e inoltre di svolgere una serie di altre funzioni malevole.

Inoltre, dagli specialisti è stata studiata una nuova versione di un trojan Linux capace di infettare diversi dispositivi "intelligenti".

Le principali tendenze di ottobre

  • La diffusione di un nuovo worm cryptolocker BadRabbit
  • La comparsa di un backdoor scritto in Python
  • La scoperta di un nuovo trojan Linux per l'IoT

La minaccia del mese

Come i suoi predecessori, il malware Trojan.BadRabbit è un worm in grado di auto-propagazione senza intervento dell'utente ed è costituito da più componenti: un dropper, un cryptor e decryptor e del worm encoder stesso. Una parte del codice di questo worm proviene da Trojan.Encoder.12544 , anche conosciuto come NotPetya. Ad avvio l'encoder controlla la presenza del file C:\Windows\cscc.dat e se è disponibile, termina il suo funzionamento (per cui creando un file cscc.dat nella cartella C:\Windows si possono prevenire le conseguenze dannose dell'avvio del trojan).

Secondo alcuni ricercatori, la fonte di infezione da Trojan.BadRabbit è stata una serie di siti web compromessi nel cui codice HTML era stato integrato uno script JavaScript malevolo. L'encoder cripta i file con le estensioni .3ds, .7z, .accdb, .ai, .asm, .asp, .aspx, .avhd, .back, .bak, .bmp, .brw, .c, .cab, .cc, .cer, .cfg, .conf, .cpp, .crt, .cs, .ctl, .cxx, .dbf, .der, .dib, .disk, .djvu, .doc, .docx, .dwg, .eml, .fdb, .gz, .h, .hdd, .hpp, .hxx, .iso, .java, .jfif, .jpe, .jpeg, .jpg, .js, .kdbx, .key, .mail, .mdb, .msg, .nrg, .odc, .odf, .odg, .odi, .odm, .odp, .ods, .odt, .ora, .ost, .ova, .ovf, .p12, .p7b, .p7c, .pdf, .pem, .pfx, .php, .pmf, .png, .ppt, .pptx, .ps1, .pst, .pvi, .py, .pyc, .pyw, .qcow, .qcow2, .rar, .rb, .rtf, .scm, .sln, .sql, .tar, .tib, .tif, .tiff, .vb, .vbox, .vbs, .vcb, .vdi, .vfd, .vhd, .vhdx, .vmc, .vmdk, .vmsd, .vmtm, .vmx, .vsdx, .vsv, .work, .xls, .xlsx, .xml, .xvd, .zip. Come risultato del funzionamento del trojan sullo schermo del computer infetto viene visualizzata una richiesta di pagare il riscatto nella criptovaluta Bitcoin, e sul sito dei malintenzionati nella TOR alla vittima vengono assegnate 48 ore per pagare, dopo cui l'importo del riscatto verrà aumentato.

Al momento lo studio di Trojan.BadRabbit continua, però Antivirus Dr.Web rileva e rimuove con successo questo programma malevolo. Inoltre, l'analisi ha dimostrato che il trojan verifica la presenza nel sistema degli antivirus Dr.Web e McAfee. Se rileva il nostro prodotto, Trojan.BadRabbit salta la fase di criptazione in modalità utente, però cerca di lanciare la completa criptazione del disco dopo il riavvio del sistema. Questa funzionalità del programma malevolo viene bloccata da Antivirus Dr.Web, dunque dalle attività del trojan non saranno colpiti gli utenti di Antivirus Dr.Web versione 9.1 e superiori e di Dr.Web KATANA, a condizione che non abbiano modificato le impostazioni della protezione preventiva e non l'abbiano disattivata.

Secondo le statistiche di Antivirus Dr.Web

Trojan.Exploit

Un metodo di rilevamento euristico degli exploit che sfruttano varie vulnerabilità per compromettere applicazioni legittime.
Trojan.Inject
Una famiglia di programmi malevoli che integrano un codice malevolo nei processi di altri programmi.

Secondo le informazioni dei server delle statistiche Doctor Web

JS.Inject.3

Una famiglia di script malevoli, scritti nel linguaggio JavaScript. Integrano uno script malevolo nel codice HTML di pagine web.
Trojan.Starter.7394
Un rappresentante della famiglia di trojan che hanno l'obiettivo principale di avviare nel sistema infetto un file eseguibile con un determinato set di funzioni malevole.
JS.BtcMine.1
Uno script nel linguaggio JavaScript progettato per l'estrazione segreta delle criptovalute (mining).
W97M.DownLoader
Una famiglia di trojan downloader che per il loro funzionamento si approfittano delle vulnerabilità nelle applicazioni di ufficio. Sono studiati per scaricare altre applicazioni malevole sul computer sotto attacco.
BackDoor.Bebloh.184
Fa parte di una famiglia di programmi malevoli ricadenti nella categoria di trojan di online banking. Quest'applicazione rappresenta una minaccia per gli utenti dei sistemi di home-banking in quanto consente ai malintenzionati di rubare informazioni confidenziali intercettando dati inseriti in moduli web nel browser e incorporando falsi moduli nelle pagine web di alcune banche visualizzate.

Le statistiche sulle applicazioni malevole nel traffico email

JS.Inject.3

Banner

Una famiglia di script malevoli, scritti nel linguaggio JavaScript. Integrano uno script malevolo nel codice HTML di pagine web.

VBS.DownLoader
Una famiglia di script malevoli scritti nel linguaggio VBScript. Scaricano e installano sul computer altri programmi malevoli.
W97M.DownLoader
Una famiglia di trojan downloader che per il loro funzionamento si approfittano delle vulnerabilità nelle applicazioni di ufficio. Sono studiati per scaricare altre applicazioni malevole sul computer sotto attacco.

Secondo i dati del bot Dr.Web per Telegram

Android.Locker

Una famiglia di trojan Android studiati per il riscatto. Visualizzano un messaggio invadente su una presunta trasgressione della legge da parte dell'utente e del conseguente bloccaggio del dispositivo mobile, per levare il quale viene suggerito all'utente di pagare un determinato importo.
Android.Spy.337.origin
Un membro della famiglia di trojan per SO Android che sono capaci di rubare informazioni confidenziali, comprese le password dell'utente.
Android.Hidden
Una famiglia di trojan Android che sono in grado di nascondere la loro icona nella lista delle applicazioni del dispositivo mobile.
Program.TrackerFree.2.origin
Una firma antivirale che permette di rilevare l'applicazione per lo spionaggio dei bambini Mobile Tracker Free.

Cryptolocker

Ad ottobre al servizio di supporto tecnico Doctor Web il più spesso si rivolgevano gli utenti le cui informazioni sono state cifrate dalle seguenti versioni dei trojan cryptolocker:

  • Trojan.Encoder.3953 — 17,26% dei casi;
  • Trojan.Encoder.858 — 16,67% dei casi;
  • Trojan.Encoder.13671 — 5,51% dei casi;
  • Trojan.Encoder.2667 — 4,02% dei casi;
  • Trojan.Encoder.567 — 2,38% dei casi;
  • Trojan.Encoder.3976 — 2,23% dei casi.

Articoli su DrWeb

Statistiche sulle infezioni Dr.Web AV-DeskServizio Agent Monitoring GratuitoStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskCambio tariffe Dr. WebStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskDoctor Web ha rilevato nello store di applicazioni Android ufficiale un trojan clickerStatistiche sulle infezioni Dr.Web AV-DeskStatistiche sulle infezioni Dr.Web AV-DeskTrojan banker Bolik viene distribuito con il pretesto di NordVPNStatistiche sulle infezioni Dr.Web AV-DeskNuovo trojan backdoor rilevato Doctor Web su Google PlayNews Doctor Web – Compromesso il sito di VSDCStatistiche sulle infezioni Dr.Web AV-DeskDr.Web Data Loss Prevention – la migliore protezione contro i CryptolockerDoctor Web: trojan Android.InfectionAdsStatistiche sulle infezioni riscontrate da Dr.Web AV-DeskA rischio centinaia di milioni di utenti di UC Browser per AndroidDoctor Web rileva un trojan in un programma per il monitoraggio del tasso di cambio delle criptovaluteDoctor Web rileva un trojan che sfrutta una falla zero-day nel client Counter-StrikeBollettino DoctorWeb – Le minacce di Febbraio 2019Doctor Web: attenzione ai Trojan Android diffusi tramite App che sembrano innocueVariazione Listini Dr.Web dal 1 Dicembre 2018Dr.Web: l’antivirus con laboratorio R&D proprietarioConfermato il Laboratorio di Doctor Web al CoreTech Partner SummitDoctor Web6 tipi di impiegati a rischio malware in ufficioCirca l'8% delle smart TV e dei dispositivi con Android è vulnerabile a un nuovo minerDoctor Web mette in guardia dalla diffusione di un nuovo cryptolocker GandCrabAnatomia di un Antivirus: sicuri di stare al sicuro?I prodotti Dr.Web sono compatibili con gli aggiornamenti di sicurezza Windows di gennaioDoctor Web ha esaminato un nuovo backdoor per WindowsDoctor Web avverte: i malintenzionati hackerano siti web tramite "l'Internet degli oggetti"Un milione di richieste: un numero tondo per il supporto tecnico Doctor WebDoctor Web ha esaminato un nuovo trojan bankerDoctor Web ha scoperto in Google Play applicazioni con un trojan che sono state scaricate da oltre 2.000.000 di utentiDrWeb Cloud: licenze NFR gratuite per tutti i PartnerRilascio di Dr.Web Light 11.0.0 per AndroidDoctor Web: panoramica sulle attività dei virus ad ottobre 2017Rilascio di Dr.Web 11.0.4 per Microsoft Exchange ServerBadRabbit ha paura dei computer con Dr.Web: un'indagine sul trojan clamorosoCoreTech e Doctor Web, una nuova partnership per la sicurezza degli endpoint con la potenza del Cloud

Knowledge Base su DrWeb

Dr.Web - Come scaricare il software tramite SSC ConsoleDr.Web - Come un'amministratore può inviare Dr.Web a un clientDr.Web - Modificare le regole antivirus dalla console AV-DeskDr.Web - Modificare le regole direttamente da WindowsDr.Web - Come creare un UtenteDr.Web - Esclusione della cartella Kerio Control VPN ClientDr.Web - Risolvere la lentezza di apertura dei file e delle applicazioni di reteDr.Web - Creazione Nuovo cliente tramite consoleDr.Web - Problemi legati al file HostsDr.Web - Regole Firewall per le applicazioniDr.Web - Gestione delle eccezioni tramite ClientDr.Web - AntispamDr.Web - Auto-protezioneDr.Web - Azioni in caso di rilevamento delle minacceDr.Web - Impostazioni avanzateDr.Web - Eccezioni file e cartelleDr.Web - Eccezioni siti webDr.Web - Gestione dell'abbonamentoDr.Web - Introdizione sull'antivirusDr.Web - Console centralizzata e gestione licenzeDr.Web - Gestione manuale del creditoDr.Web - Sicurezza della rete antivirus e dei dispositivi appartenentiDr.Web - Configurare le relazioni tra i ServerDr.Web - Creazione della rete antivirusDr.Web - Risolvere problemi di installazione remotaDr.Web - Protezione delle postazioni della rete e sicurezza della reteDr.Web - Autenticazione degli amministratori al ServerDr.Web - Enterprise Security Suite - IntroduzioneDr.Web - Enterprise Security Suite - LicenzeDr.Web - Enterprise Security Suite - Integrare in Active DirectoryDr.Web - Office Control - gestire al meglio le informazioniDr.Web - Katana - Rilevare i malware senza firmeDr.Web - Katana - Impostazioni di protezioneDr.Web - Katana - Introduzione ed uso

Video Premium su DrWeb

Corsi Premium - Dr.Web