книги хакеры / журнал хакер / 207_Optimized

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

Если проигнорировать предупреждение и открыть веб-страницу принудитель-

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

но, то можно увидеть типичную картину: частично копируется оформление бан-

ковского сайта и отображаются формы для ввода конфиденциальных данных

(включая пароль от почты и пин-код). При этом в адресной строке остается уве-

домление: «Небезопасный сайт». Только пять антивирусов из 67 в онлайн-ска-

нере VirusTotal определили его на тот момент как представляющий угрозу. Хоть

это и не malware, а всего лишь инструмент социального инжиниринга, именно

на эту удочку и попадается сегодня большинство.

Уведомление

о посещении

небезопасного

сайта

Удивительно, но VBS-троянец не обнаруживался на веб-странице до тех пор, пока мы не стали вручную смотреть ее код. Только тогда «Защитник Windows» сообщил нам, что видит и удаляет угрозу. На VirusTotal сайт считали зараженным только четыре службы облачной проверки.

«Защитник

Windows»

игнорирует троянский VBS на веб-странице

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

Загрузка вредоносного джава-скрипта блокируется «Защитником Windows»

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

и фильтром SmartScreen далеко не всегда. В нашем тесте по одной из ссылок запустился Trojan.Redirector. Сперва показалось всплывающее окно, а затем браузер принудительно перенаправился на сайт с навязчивой рекламой. Закрыть обычным образом окно с сообщением о «выигрыше» MacBook Pro было невозможно. Пришлось выгружать Edge через диспетчер задач и чистить систему вручную.

Windows Defender не препятствует JS-троянцам

Еще один частый сценарий атаки с элементами социального инжиниринга — запугивание ложными уведомлениями о вирусной атаке. Они побуждают действовать быстро и необдуманно. В IE и многих других браузерах фейковые сообщения легко было стилизовать под системные. Теперь обмануть таким образом стало сложнее: Edge всегда показывает сообщения сайтов в отдельном окне без элементов оформления и со стандартным заголовком: «Этот сайт говорит...». Руководствуясь репутационной характеристикой, SmartScreen дополнительно отмечает сайт как небезопасный, но из-за всплывающего окна это происходит в фоне и может остаться незамеченным. После более тщательной проверки такой сайт могут добавить в черный список, и тогда он перестанет открываться в Edge вообще.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Edge отделяет всплывающие сообщения сайтов от основного контента веб-страниц

До сих пор мы рассматривали реакцию Windows 10 на единичные угрозы, но беда редко приходит одна. Встречаются и сайты, нафаршированные разными зловредами. В следующем тесте «Защитник Windows» пропустил два скриптовых трояна, загружаемых с одной и той же веб-страницы. Один из них накручивал лайки в Facebook (его работа внешне ничем не проявляется), а другой показывал несколько баннеров в отдельных фреймах. Самое интересное, что часть из них демонстрировала текст на русском, хотя сам зараженный сайт адресован вьетнамской аудитории, а хостится вообще в Мельбурне. Видимо, троянец использует Geo IP и/или считывает языковые установки в браузере.

Скриптовые трояны игнорируются пачками

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

QIHOO 360 TOTAL SECURITY 8.2.0.1120

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

Антивирус от гонконгской компании Qihu (Qihoo 360) вместе с базами занимает менее 80 Мбайт. При этом в нем реализованы три сигнатурных движка (QVMII AI, Avira, BitDefender) и облачная проверка. Вдобавок, помимо файлового сканера и резидентного монитора, у него есть песочница и другие современные компоненты дополнительной защиты. Установка происходит быстро и не сопровождается показом рекламы. Она появляется потом — уже в самой панели управления антивирусом, но выглядит как простой список рекомендуемых приложений от партнеров. Интерфейс нам показался удобным и достаточно информативным.

Интерфейс Qihoo 360 TS и реклама в его окне

Подозрительный экзешник Qihoo 360 определяет сразу после скачивания, часто показывая результат одновременно с предупреждением Edge о низкой репутационной характеристике файла. Антивирус формулирует фразы в стиле магистра Йоды, слов иногда порядок меняя в предложениях. Никакого выбора действий при обнаружении трояна он не предлагает — просто уведомляет об удалении вредоносного объекта. Восстановить его можно при нажатии кнопки «Больше».

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Моментальное удаление трояна после его загрузки с сайта

Абсолютно идентичная реакция наблюдается при попытке загрузить фейковый плеер Adobe Flash и другой троян в ZIP. Qihoo также сканирует многоуровневые архивы и самостоятельно распаковывает для проверки скачанные архивы RAR.

Автоматическое

обнаружение и удаление трояна

в скачанном архиве

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

После отключения в Edge фильтра SmartScreen антивирус Qihoo 360 не опре-

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

делил червя в электронном письме по ссылке /readme.eml. Однако он распознал его при ручном сканировании этого файла из каталога «Загрузки».

Запоздалое

обнаружение

почтового

червя

Сообщение о троянском VBS на зараженном сайте Qihoo показал буквально на долю секунды и тут же скрыл его. Пришлось смотреть лог и объекты карантина, чтобы определить реакцию антивируса.

Обнаружение VBS-троянца

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

Вредоносный джава-скрипт Qihoo определил только в кеше Edge, а его актив-

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

ную копию в самом браузере не заблокировал. В результате нам опять показали баннер в iframe, а затем и знакомое сообщение о лотерее, в которой мы снова «выиграли» MacBook Pro.

Обнаружение JS-троянца в кеше Edge

Реакция на фишинговые сайты у Qihoo отличается от других антивирусов. Вместо посещения подозрительной ссылки браузер перенаправляется на уведомление о низкой репутации этого сайта. Оно загружается из облака 360safe.com и постоянно обновляется. Дополнительно в сообщении указывается реальный адрес официального сайта PayPal. Он отображается независимо от того, какую платежную систему или банк имитировали на фишинговой странице.

Блокирование открытия фишингового сайта

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

При переходе на PayPal автоматически запускается элемент «Безопасные пла-

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

тежи» и выполняется быстрое сканирование системного окружения.

Проверка системы для повышения безопасности платежей

Двух троянов в разных скриптах одной веб-страницы Qihoo пропустил. Позже один из них был найден антивирусом в кеше браузера и удален оттуда вместе с копией веб-страницы. Реакция на сочетанные угрозы оказалась примерно такой же, как у «Защитника Windows», но тут примечательно другое. Если Qihoo обнаруживает несколько вредоносных объектов подряд, то появляется рекомендация выполнить быструю проверку системы.

Реакция на множественные угрозы

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

На чистой Windows 10 такая проверка заняла чуть больше трех минут. При этом

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

просканировались все запущенные процессы, объекты автозапуска и основные компоненты Windows\system32\ — всего более 21 тысячи файлов.

Под конец теста Qihoo пропустил зараженный PHP-скрипт с сайта, находящегося в черном списке восьми служб облачного мониторинга. Сам скрипт идентифицируется как Trojan.Obfuscator или Trojan.Crypt большинством антивирусов на VirusTotal — 33 из 55.

Провал на проверке PHP-скрипта

COMODO INTERNET SECURITY 8.2.0.4792

CIS — комплексный продукт, доступный бесплатно для домашних пользователей и учебных заведений. В его состав входит антивирус, файрвол, песочница и компоненты проактивной защиты. После установки он занимает более 215 Мбайт вместе с базами. Сама установка происходит буквально в пару кликов, а вот обновление сигнатур занимает минут десять. Во всяком случае, в первый раз. Реклама других продуктов Comodo появляется после перезагрузки (ее можно убрать) и периодически демонстрируется в самой панели управления.

На подозрительный исполняемый файл Comodo реагирует интереснее других антивирусов: он предупреждает об отсутствии у экзешника цифровой подписи и предлагает запустить его в песочнице или добавить в список исключений, помимо стандартных вариантов разрешить/заблокировать.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Возможность запустить подозрительный файл в песочнице

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

При обнаружении в списке загрузок трояна, маскирующегося под Adobe Flash Player, Comodo зачем-то предлагает получить помощь эксперта по телефону горячей линии.

Предложение техподдержки при обнаружении трояна