Очередное sms-мошенничество: «Вы еще ищите? а мы уже нашли!»

English version

***

…Давно уже не секрет, что в Топ-10 поисковых систем Google и Яндекс – по наиболее востребованным ключевым словам – активно продвигаются «черные оптимизаторы», вирусописатели и спамеры.

«Работают» они оперативно и эффективно. Зачастую неважно, какой поисковый запрос вы введете, – злоумышленники на лету формируют «искомое» вами, меняя имя предлагаемого к скачиванию файла по вашему запросу, – а ссылка на их ресурс появляется на первой (!) странице с результатами поиска…

Очевидно, что злоумышленникам удается каким-то образом модифицировать (подменять?) страницы с результатами поиска, влияя на релевантность поисковых запросов.

…Намедни написал статью, а через пару часов ввел в Google запрос netler.ru:сколько бед в россии.

В Топ-10 (!) в числе прочего была сгенерирована ссылка на ресурс skachayfiles.moment-getall.ru, якобы содержащий искомое:

Сразу понял, что сейчас будет предложено скачать лже-архив, но решил проследить всю цепочку лохотрона до конца.

При нажатии на кнопку СКАЧАТЬ ФАЙЛ был осуществлен редирект на ресурс dl.file-fileall.ru, в результате было предложено скачать файл netler.ru_skolko bed v rossii_2016753766-.zip.exe (35,6МБ).

При попытке открыть файл появилось знакомое до боли окно лже-архива:

После 95% «распаковки» появилось окно с предложением ввести номер телефона для получения проверочного sms:

В следующем окне будет предложено sms с текстом 40507302649 на номер 2855 (всего будет предложено отправить 3 sms; общая сумма – в пределах 600 руб.)

Естественно, sms не отправляем, закрываем окно и удаляем лже-архив.

***

Что представляет собой вирус sms-вымогателя

Файл вируса является не архивом, а исполняемым (Portable Executable)  файлом. Может иметь произвольное имя (какой файл ищет пользователь, такое и имя!). Предназначен для 32-битной платформы ОС Windows с процессором x86. Осуществляет импорт системных библиотек: KERNEL32.dll, USER32.dll,  ADVAPI32.dll, SHELL32.dll.

Исследование показало, что вредонос является типичным трояном, представляет собой ложный архив (использует brand-name и торговую марку WinRAR) с функцией sms-вымогателя.

На момент написания статьи ни один антивирус не идентифицировал зловреда.

Доменные имена MOMENT-GETALL.RU и LOTS-FILESARCHIV.RU зарегистрированы 18.07.2011.

***

Деструктивные действия sms-вымогателя

При попытке запустить исполняемый файл вируса (распаковать лже-архив):

– sms-вымогатель провоцирует пользователя отправить 3 sms на указанный премиум-номер;

– …

***

Как уничтожить вирус и устранить деструктивные последствия

Отключитесь от Интернета и от локальной сети;

– удалите исполняемый файл вируса (лже-архив);

– в автономном режиме (не подключаясь к Интернету!) запустите веб-браузер;

– очистите историю посещений;

– очистите кэш интернет-файлов;

– измените стартовую страницу веб-браузера на первоначальную;

– при необходимости восстановите оригинальный hosts-файл;

– просканируйте систему антивирусом со свежими базами.

***

Как не попасть на удочку интернет-мошенников?

Используйте надежные антивирусные программы с актуальными базами;

– старайтесь не посещать сомнительные ресурсы и – тем более! – не кликайте по ссылкам с «интригующими» названиями;

– обновляйте программное обеспечение (в том числе, операционные системы, антивирусы и веб-браузеры) с сайта производителя (как правило, для этого в меню программы есть соответствующая опция). Игнорируйте предложения об обновлении ПО со стороны – от второстепенных и явно подозрительных сайтов;

– игнорируйте «страшилки» – «грозные предупреждения», появляющиеся при посещении некоторых сайтов, – о том, что ваш компьютер заражен;

– не идите на поводу у мошенников, – не указывайте номер своего мобильного телефона на веб-ресурсах, подобных вышеуказанным, – иначе вас могут завалить спамом, а отправив sms, – кроме того, что вы потеряете на одной sms около 300 руб., – вы рискуете подписаться на платную sms-рассылку;

– не доверяйте электронным письмам от незнакомых отправителей (не кликайте по предложенным ссылкам, не загружайте и не открывайте прикрепленные файлы, – они могут содержать вредоносный код);

– во избежание фишинговых атак рекомендуется вводить адреса веб-ресурсов (в адресной строке веб-браузеров) вручную;

– помните, что «воспользовавшись услугами» фишингового сайта, вы не только рискуете потерять свои деньги и данные своего аккаунта в соцсети, но и подвергаетесь риску скомпрометировать свои конфиденциальные данные (№ мобильного телефона, банковские данные и т.д.), – злоумышленники могут воспользоваться ими в своих корыстных целях;

– …

***

…Вообще-то достославным веб-поисковикам и антивирусам надо помечать ресурсы, подобные skachayfiles.moment-getall.ru, deposit.lots-filesarchiv.ru, file-fileall.ru, skachayfiles.com, наравне с другими ресурсами, содержащими и распространяющими вредоносное программное обеспечение.

Создателей ресурса skachayfiles.moment-getall.ru можно привлечь к уголовной ответственности не только за мошенничество и вымогательство, но и за незаконное использование товарного знака популярного бренда…

Валерий Сидоров

***

• Как устранить последствия вирусной атаки?

• Знакомьтесь: CMedia и FieryAds – очередные порно-sms-вымогатели

• Как избавиться от порно-информера?

• Очередной порно-информер – блокировщик Windows

• Как разблокировать Windows после блокировки вирусом Trojan.Winlock?

• Очередной sms-вымогатель и блокировщик Windows

• Лже-флешплеер, или Не ходите, парни, в порно…

• Ложный космонавт на орбите Рунета…

• Очередной лохотрон, или Чьи скачки «В СКАЧКЕ»?..

• Очередной лохотрон: лже-Firefox

• Очередной порно-sms-вымогатель, или Почём халявная «клубничка»?

• Борьба с блокировщиками Windows и sms-вымогателями: универсальная методика

• Ищешь СНиП, откроешь «дикую оргию», или Очередной sms-вымогатель

• Уголовный кодекс РФ на страже пользователя ПК

English version