Первые случаи заражения вредоносными программами семейства
Trojan.Winlock были зафиксированы еще в конце 2007 года, а в период с
ноября 2009 по февраль 2010 года их распространение приняло буквально
эпидемический характер. По интерфейсу и принципу действия новая
модификация троянца — Trojan.Winlock.3794 — напоминает те самые,
ранние модификации «винлоков», хорошо известные в России, разве что
рассчитана она на зарубежных пользователей.
Данная версия троянца-блокировщика, как и многие ее предшественницы,
маскируется под встроенный механизм активации операционной системы
Windows XP (Microsoft Product Activation, MPA). Окно программы,
блокирующее Рабочий стол Windows, сообщает о том, что данная копия
Microsoft Windows ранее уже была активирована другим пользователем, и
предлагает повторить процедуру активации. В случае выбора варианта No, I
will do it later («Нет, я сделаю это позже») операционная система
демонстрирует «синий экран смерти». Если же пользователь согласится
выполнить повторную активацию, ему будет предложено ввести в
соответствующие поля формы реквизиты банковской карты, включая полные
данные владельца, номер карты, CVV2 и даже пин-код. Излишне говорить о
том, чем именно чревата передача указанных сведений в руки
злоумышленников.
С архитектурной точки зрения троянец Trojan.Winlock.3794
реализован достаточно примитивно, что характерно для всех вредоносных
программ этого семейства. Попадая в систему, он записывает ссылку на
самого себя в отвечающей за автозагрузку приложений ветке системного
реестра. В результате блокируется нормальная работа Windows как в
обычном, так и в защищенном режиме. Помимо этого троянец блокирует
запуск любых приложений операционной системы, включая Диспетчер задач,
Восстановление системы и т. д., что несколько затрудняет борьбу с ним
подручными средствами.
Следует отметить, что это — первый случай появления
троянца-блокировщика, собирающего данные о банковских картах. Напомним,
что ранее подобные программы-вымогатели обычно требовали от пользователя
отправить платное SMS-сообщение на указанный сервисный номер или
пополнить счет одного из российских сотовых операторов. Очевидно, что с
появлением Trojan.Winlock.3794 создатели «винлоков» вышли уже на
международный уровень и в ближайшем будущем можно прогнозировать
появление более изощренных угроз подобного типа, включая троянские
программы, модифицирующие MBR.
Антивирусы Dr.Web успешно справляются с любыми модификациями
семейства Trojan.Winlock, включая и эту. В любом случае, соблюдение
всего лишь нескольких несложных правил позволит вам надежно обезопасить
себя от возникновения подобных неприятностей:
- Используйте обновленное антивирусное программное обеспечение.
Периодически производите проверки компьютера на наличие вирусов и других
вредоносных программ.
- Вовремя обновляйте вирусные базы, поддерживая их в актуальном состоянии.
- Регулярно устанавливайте обновления безопасности, рекомендованные производителем вашей операционной системы.
- Не запускайте подозрительные приложения или самораспаковывающиеся
архивы, загруженные из Интернета или полученные из неблагонадежных
источников.
- Если вы все-таки стали жертвой данного троянца, воспользуйтесь
средством аварийного восстановления системы Dr.Web LiveCD и лечащей
утилитой Dr.Web CureIt!
|