Toutes les actualités
17.08 Doctor Web : Environ 9% des domaines bancaires utilisent de mauvaises configurations DNS
Le 17 août 2017
Le système de noms de domaine (DNS, Domain Name System) permet de recevoir des informations sur les domaines et assure l'adressage sur Internet. En utilisant DNS, des logiciels clients, tels que, par exemple, les navigateurs web, déterminent l'adresse IP correspondante à l'URL de la ressource saisie dans la barre d'adresse. Dans la plupart des cas, les propriétaires de domaines eux-mêmes gèrent les serveurs DNS.
De nombreuses ressources Internet utilisent plusieurs domaines supplémentaires de troisième ou même quatrième niveau. Par exemple, le domaine vms.drweb.com utilise les sous-domaines suivants : vms.drweb.fr qui héberge le site permettant de vérifier des liens, des fichiers ou de trouver la description d'un virus, free.drweb.fr - le domaine utilisé pour la page dédiée à l'utilitaire Dr.Web CureIt! et up.dates.drweb.com - une page du système de mises à jour Dr.Web etc. En général, l'utilisation de ces domaines aide au fonctionnement des services techniques : le système d'administration et de gestion du site, les systèmes de banking en ligne, les interfaces web des serveurs de messagerie et des sites internes pour les employés de la société. Les sous-domaines peuvent servir, par exemple, pour les systèmes de contrôle de version, pour le bug-tracker, pour divers services de surveillance, de ressources wiki ou d'autres besoins.
Lors d’attaques sur les sites web, les pirates cherchent, en premier lieu, à collecter des informations sur la ressource ciblée. Ils tentent notamment de déterminer le type et la version du serveur web utilisé pour le site, la version du système de contrôle du contenu, le langage de programmation utilisé pour le moteur et d'autres informations techniques dont une liste de sous-domaines du domaine principal du site attaqué. À l’aide de cette liste, les malfaiteurs peuvent tenter de se faufiler dans l’infrastructure de la ressource Internet par une « petite porte », s'ils arrivent à trouver des données d'authentification et à s'authentifier sur un des services internes non-publics. Beaucoup d’administrateurs système ne prêtent pas suffisamment d’attention à la sécurité de ces ressources. Pourtant, ces sites "internes" peuvent utiliser des logiciels obsolètes ayant des vulnérabilités connues, ou ils peuvent contenir des informations de débogage ou permettre une authentification ouverte. Tout cela peut considérablement simplifier la tâche des criminels.
Si les serveurs DNS traitant le site web sont correctement configurés, les pirates ne peuvent pas obtenir d’informations relatives à la zone DNS. Dans le cas contraire, une requête spécialisé AXFR permet aux criminels d'obtenir des données exhaustives sur les sous-domaines enregistrés dans la zone. Une configuration incorrecte des serveurs DNS, en soi, n’est pas une vulnérabilité, mais peut devenir la cause indirecte d'un incident où la ressource web s'avère compromise.
Les analystes de Doctor Web ont effectué une analyse des configurations des serveurs DNS d'un certain nombre de banques russes et d'institutions gouvernementales. Il s'est avéré que parmi presque 1000 domaines de banques russes vérifiés, 89 banques envoient des informations sur la zone DNS en réponse à une requête AXFR extérieure. Cette information a été transférée au centre de surveillance et de réaction aux attaques cybernétiques dans le domaine financier (FinCERT) de la Banque de Russie. De plus, des paramètres incorrects ont été détectés sur les sites de certaines institutions gouvernementales. Doctor Web rappelle aux administrateurs de sites que la configuration correcte de DNS est un des facteurs pouvant assurer la sécurité des ressources Internet.
Le 17 août 2017
Sur les ordinateurs en attente d’un redémarrage, l'installation de Dr.Web en mode silencieux est impossible.
Pour les utilisateurs de Dr.Web, la mise à jour sera automatique.
08.08 Mise à jour du service de contrôle dans un certain nombre de produits Dr.Web
Le 8 août 2017
Dans les produits Dr.Web Enterprise Security Suite et Dr.Web AV-Desk, la mise à jour du service a corrigé le comportement en cas de changement d'interface réseau.
Une modification a également été apportée, désormais, l'agent demande les paramètres de tous les composants installés lors de la connexion au serveur.
Pour les utilisateurs de Dr.Web, la mise à jour sera automatique.
03.08 Mise à jour de Dr.Web LiveDisk 9.0
Le 3 août 2017
Le problème qui, dans certains cas, empêchait le démarrage et l'installation des produits Dr.Web sous Windows à été résolu.
02.08 Doctor Web met en garde contre des courriers frauduleux envoyés au nom de RU-CENTER
Le 2 août 2017
Pour l’envoi de ces messages, les cybercriminels utilisent, apparemment, une base de contacts d’administrateurs de domaines enregistrés dans la société RU-CENTER. Sous prétexte de certains changements dans les règles de l’ICANN, les pirates proposent à l'administrateur de domaine de créer dans le répertoire racine du site un fichier PHP ayant un contenu particulier pour "confirmer le droit d'utiliser ce domaine par le destinataire du message". Le message contient le logo de la société RU-CENTER et semble être envoyé par la société.
Le fichier que les criminels proposent d'enregistrer dans le répertoire racine du site contient une commande capable d'exécuter n'importe quel code défini par une variable. Ce code peut être transmis par les cybercriminels au script placé sur le serveur sous forme GET ou comme une requête POST. Doctor Web alerte : si vous acceptez la proposition des malfaiteurs, votre site sera compromis. En cas de réception d'un tel message, ignorez-le. Si vous pensez que le message peut être envoyé par un vrai enregistreur de domaine, veuillez le préciser au support technique de la société en question.
Le 2 août 2017
La mise à jour du Pare-feu et du driver Dr.Web Firewall Driver corrige le problème pouvant causer la création de doublons dans le tableau de règles pour les applications réseau. De plus, la stabilité du fonctionnement des modules a été renforcée.
La mise à jour sera automatique, mais les produits avec le pare-feu installé nécessiteront un redémarrage.
01.08 Nouvelles règles de blocage des licences Dr.Web piratées
1 août 2017
Conformément aux nouvelles règles, les licences Dr.Web Enterprise Security Suite sans Centre de Gestion considérées comme piratées seront bloquées immédiatement.
Si l'utilisateur est une personne morale, la licence peut est restaurée via un ticket correspondant dans le tracker du support technique, dont le lien sera envoyé dès le blocage de la licence. Dans ce cas, le client sera invité à expliquer comment la licence s’est avérée être compromise.
Comme auparavant, la licence Dr.Web pour les entreprises peut être remplacée trois fois, à condition que la durée restante de sa validité soit de 31 jours au minimum. Dans le cas contraire, il faudra renouveler la licence.
Pour les particuliers, le remplacement gratuit de la licence ne peut être effectué qu'une seule fois.
Pour prendre connaissance des nouvelles règles, de blocage et de remplacement des licences reconnues comme piratées, merci de visiter cette page.
le 31 juillet 2017
| Lire le rapport |
31.07 Doctor Web : aperçu des menaces mobiles pour le mois de juillet 2017
le 31 juillet 2017
En juillet, les analystes de Doctor Web ont détecté un Trojan pré-installé sur quelques modèles de Smartphones via une bibliothèque système. Le programme malveillant pénétrait dans les processus des applications et pouvait télécharger et installer des modules supplémentaires à l'insu de l'utilisateur. De plus, sur Google Play, un jeu avec un Trojan Downloader incorporé a été détecté. Également en juillet, les analystes ont examiné un Trojan bancaire capable de contrôler les appareils contaminés et de voler des informations confidentielles.
Les tendances principales du mois du juillet
- Détection, dans le firmware de plusieurs modèles d'appareils Android, d'un Trojan qui s'introduisait dans les processus des applications et lançait discrètement des modules malveillants.
- Détection d'un Trojan Downloader sur le catalogue Google Play.
- Apparition d'un Trojan bancaire dangereux.
Menace " mobile "du mois
Au cours du mois de juillet, les analystes de Doctor Web ont détecté le Trojan
Caractéristiques d'
- l'intégration à la bibliothèque système est effectuée au niveau du code source.
- Il pénètre dans les processus de toutes les applications lancées et introduit dans ces applications des modules malveillants,
- pour supprimer ce Trojan de l'appareil, l'installation d'une image "saine" du système d'exploitation est requise.
Pour en savoir plus sur ce Trojan, consultez l'article publié par Doctor Web.
Selon les données fournies par les produits antivirus Dr.Web pour Android
Android.DownLoader .337.originAndroid.DownLoader .526.origin- Trojans conçus pour installer d'autres logiciels malveillants.
Android.HiddenAds .85.originAndroid.HiddenAds .68.originAndroid.HiddenAds .83.origin- Trojans conçus pour afficher des publicités. Ils sont propagés sous couvert d’applications populaires par d'autres programmes malveillants, qui, dans certains cas, les installent dans le répertoire système à l'insu de l'utilisateur.
- Adware.Avazu.8.origin
- Adware.SalmonAds.1.origin
- Adware.Jiubang.1
- Adware.Batmobi.4
Adware.Cootek.1.origin - Modules de programmes indésirables intégrés à des applications Android et conçus pour afficher des publicités sur les appareils mobiles.
Trojan sur Google Play
Au mois de juillet, les spécialistes de Doctor Web ont détecté sur le catalogue Google Play le Trojan
Trojan bancaire
Au mois de juillet, le Trojan bancaire
Depuis plusieurs années maintenant, Android reste l’OS mobile le plus ciblé. Les cybercriminels constamment la fonctionnalité des Trojans et tentent de les propager par tous les moyens dont ils disposent. Pour protéger leurs Smartphones et tablettes contre les programmes malveillants, les utilisateurs peuvent installer les produits antivirus Dr.Web pour Android.
Votre Android a besoin d'être protégé
Utilisez Dr.Web
- Le premier antivirus russe pour Android
- Plus de 100 millions de téléchargements sur Google Play !
- Gratuit pour les utilisateurs de produits Dr.Web pour les particuliers
le 31 juillet 2017
| Lire le rapport |
31.07 Doctor Web : aperçu de l'activité virale du mois de juillet 2017
le 31 juillet 2017
Général
En règle générale, l’été est une période un peu plus calme en matière de sécurité informatique, mais cette année, le mois de juillet fait exception. Au début du mois, les spécialistes de Doctor Web ont détecté un backdoor dans l'application bureautique M.E.Doc. Un peu plus tard, les analystes ont pu déterminer la source de propagation du Trojan
Les tendances principales du mois du juillet
- Détection d'un backdoor dans le logiciel M.E.Doc
- Identification de la source de propagation du backdoor Dande
- Piratage du portail gosuslugi.ru
Menace du mois
L'application bureautique M.E.Doc populaire en Ukraine a été développée par la société Intellect Service. Dans un des composants de cette application, ZvitPublishedObjects.Server.MeCom, les analystes de Doctor Web ont détecté un enregistrement correspondant à une clé caractéristique du registre Windows : HKCU\SOFTWARE\WC.
La même clé de Registre a été utilisée par le ransomware Trojan.Encoder.12703. L'analyse des logs Dr.Web sur l'ordinateur d'un de nos clients a montré que le ransomware Trojan.Encoder.12703 a été lancé par l'application ProgramData\Medoc\Medoc\ezvit.exe, qui est un composant du programme M.E.Doc :
Une étude plus approfondie du logiciel a révélé qu'une de ses bibliothèques, ZvitPublishedObjects.dll contient un backdoor capable d'exécuter les fonctions suivantes:
- la collecte de données pour l'accès aux serveurs de messagerie;
- l'exécution de n'importe quelles commandes dans l'OS contaminé;
- le téléchargement de fichiers sur l'ordinateur contaminé ;
- le téléchargement et le lancement de n'importe quels fichiers exécutables;
- il peut également uploader des fichiers vers un serveur distant.
De plus, le module de mise à jour de M.E.Doc permet d'exécuter la charge utile à l'aide de l'utilitaire rundll32.exe avec le paramètre # 1, technique utilisée pour lancer
Statistiques
Selon les statistiques de Dr.Web Antivirus
Trojan.DownLoader
Famille de Trojans conçus pour télécharger d'autres programmes malveillants sur un ordinateur attaqué.Trojan.InstallCore
Représentant de la famille des programmes-installateurs d'applications indésirables et malveillantes.Trojan.BtcMine
Représentant de la famille des programmes malveillants utilisant, à l'insu de l'utilisateur, des ressources de l’ordinateur infecté pour l'extraction (mining) de crypto-monnaie, par exemple, les Bitcoin.
Données des serveurs de statistiques de Doctor Web.
JS.DownLoader
Famille de scripts malveillants écrits en JavaScript. Ils téléchargent et installent sur l'ordinateur d’autres logiciels malveillants.- JS.Inject.3
Famille de scripts malveillants écrits en JavaScript. Ils intègrent un script malveillant dans le code HTML des pages web. Trojan.InstallCore
Représentant de la famille des programmes-installateurs d'applications indésirables et malveillantes.Trojan.DownLoader
Famille de Trojans conçus pour télécharger vers un ordinateur attaqué d'autres programmes malveillants.Trojan.PWS.Stealer
Famille de Trojans conçus pour voler des mots de passe et d'autres données confidentielles.
Logiciels malveillants détectés dans le trafic email
JS.DownLoader
Famille de scripts malveillants écrits en JavaScript. Ils téléchargent et installent sur l'ordinateur d’autres logiciels malveillants.- JS.Inject.3
Famille de scripts malveillants écrits en JavaScript. Ils intègrent un script malveillant dans le code HTML des pages web. Trojan.PWS.Stealer
Famille de Trojans conçus pour voler des mots de passe et d'autres données confidentielles.Trojan.Encoder.6218
Un des représentants de la famille des ransomwares qui chiffrent les fichiers de l'ordinateur infecté puis extorquent de l'argent pour les déchiffrer.Trojan.InstallCore
Représentant de la famille des programmes-installateurs d'applications indésirables et malveillantes.
D’après les données du bot Dr.Web pour Telegram
Android.Locker.139.origin
Représentant de la famille des Trojans ciblant Android et conçus pour extorquer de l’argent. Ce malware affiche un message indiquant à l’utilisateur qu’il a enfreint la loi et que son appareil mobile est bloqué. Pour débloquer l'appareil, les malwares demandent une rançon.EICAR Test File
Fichier texte spécialisé conçu pour tester le fonctionnement des logiciels antivirus. En cas de détection de ce fichier, tous les logiciels antivirus doivent réagir de même manière comme s’il y avait une vraie menace.- Joke.Locker.1.origin
Programme-canular ciblant Android qui bloque l’écran de l'appareil mobile et affiche l’image de " l'écran bleu de la mort " sous Windows (BSOD, Blue Screen of Death). Android.SmsSend.20784
Représentant de la famille des logiciels malveillants conçus pour envoyer des messages SMS payants et pour abonner des utilisateurs à des services ou à un contenu payant.Trojan.PWS.Stealer
Famille de Trojans conçus pour voler des mots de passe et d'autres données confidentielles.
Ransomwares
Au mois de juillet, le Support technique de Doctor Web a reçu de nombreuses requêtes d’utilisateurs touchés par les modifications suivantes des ransomwares :
Trojan.Encoder.858 — 34.80% des demandes;Trojan.Encoder.567 — 8.21% des demandes;Trojan.Encoder.761 — 3.19% des demandes;Trojan.Encoder.5342 — 3.04% des demandes;- Trojan.Encoder.11423 — 2.13% des demandes;
Trojan.Encoder.11432 — 1.98% des demandes;
Dr.Web Security Space 11.0 pour Windows protège contre les ransomwares
Sites dangereux
Au cours du mois de juillet 2017, la base de sites non recommandés par Dr.Web s’est enrichie de 327 295 adresses Internet.
| Juin 2017 | Juillet 2017 | Evolution |
|---|---|---|
| + 229,381 | + 327,295 | + 42.6% |
À la mi-juillet, les chercheurs de Doctor Web ont détecté que le portail de service public russe gosuslugi.ru comportait un code potentiellement malveillant. Ce code connectait discrètement le navigateur des visiteurs du site à une des 15 adresses de domaines enregistrées au nom d'une personne physique dont au minimum 5 adresses appartenaient à des sociétés néerlandaises. Pendant la génération automatique de la page du site que l'utilisateur souhaitait consulter, un conteneur <iframe> était ajouté au code de balisage de la page web. Ce code permettait de télécharger ou de demander au navigateur utilisé par l'internaute n'importe quelles données. Toutes les vulnérabilités détectées sur le site gosuslugi.ru ont été corrigées quelques heures après la publication de la news sur cet incident.
Autres événements dans le domaine de la sécurité
En 2011, Doctor Web a signalé l'apparition du Trojan
L'étude menée par Doctor Web a montré que les composants de
Logiciels malveillants et indésirables ciblant les appareils mobiles.
Au début du mois, les spécialistes de Doctor Web ont détecté le Trojan Downloader
Les événements les plus importants du mois de juillet relatifs à la sécurité des mobiles sont les suivants :
- Détection d'un Trojan ciblant Android dans le firmware de plusieurs modèles d'appareils mobiles,
- Détection d'un Trojan Downloader sur Google Play,
- Apparition d'un Trojan bancaire capable de gérer les périphériques contaminés et de voler des informations confidentielles.
Pour plus d'informations sur les menaces ayant ciblé les appareils mobiles en juillet, consultez notre rapport.
En savoir plus avec Dr.Web
le 27 juillet 2017
Les Trojans de la famille
Contrairement aux autres membres de cette catégorie, qui tentent d’obtenir les privilèges root pour lancer leurs fonctions malveillantes, le malware
Le code d'
Après l’initialisation, le programme malveillant préconfigure un certain nombre de paramètres, crée un dossier et vérifie le milieu dans lequel il fonctionne. Si le Trojan tourne dans l'environnement Dalvik, il intercepte l'une des méthodes système ce qui lui permet de surveiller le lancement de toutes les applications et de réaliser des activités malveillantes immédiatement après leur démarrage.
La fonction principale d'
Ainsi, le mest en mesure d'introduire des modules de différents Trojans dans les processus de tout programme et de contrôler leur fonctionement. Par exemple, les auteurs de virus peuvent envoyer au Trojan la commande de télécharger et lancer des plugins malveillants conçus pour voler des informations confidentielles dans des applications bancaires, ou pour intercepter le courrier des clients de réseaux sociaux ou de messageries instantanées.
De plus,
Compte tenu du fait qu'
Protégez votre appareil Android avec Dr.Web !
le 24 juillet 2017
Dans le service de scan, les modifications renforçant la stabilité de fonctionnement du composant ont été apportées.
Dans le module Dr.Web Anti-rootkit API, le mécanisme de traitement des modules système a été remanié.
Dans le plugin Dr.Web for Outlook Plugin inclus dans les produits Dr.Web pour Windows, Dr.Web Enterprise Security Suite et Dr.Web AV-Desk, le problème qui empêchait l'analyse antispam en cas de redémarrage du processus dwantispam.exe a été résolu, le chargement du plugin au lancement de Microsoft Outlook a été optimisé.
De plus, dans Dr.Web Enterprise Security Suite 10.0 et 10.1, la cause des faux positifs de la Protection préventive en cas de fonctionnement avec les produits Infowatch a été éliminée.
La mise à jour sera automatique mais requiert le redémarrage de l'ordinateur..
le 24 juillet 2017
Doctor Web a signalé l'attaque du Trojan
Les recherches récentes ont montré que le Trojan a été téléchargé et lancé par un des composants de l'application ePrica. Cette application est utilisée par les pharmacies pour analyser les prix des médicaments afin de choisir les meilleurs fournisseurs. Ce module télécharge l'installateur de
Une analyse plus approfondie de l'application montre que les composants de
A la réception d'une commande du serveur, le module runmod.exe déchiffre les plugins et les lance. Puis les plugins copient des bases de données des informations qui sont transmises plus tard à un serveur distant. Le composant en question est signé par le certificat " Protek " qui désigne un groupe de sociétés dont fait partie l'éditeur d'ePrica, "Spargo Technologies".
Il est important de noter que, même après la suppression du logiciel ePrica, le backdoor reste dans le système et continue à espionner les utilisateurs. Il existe une probabilité pour que
L'installateur d'ePrica en version 4.0.14.6, dans lequel les modules du Trojan ont été détectés est sorti le 18 novembre 2013, alors que certains fichiers du backdoor qu'il comporte datent de 2010. Ainsi, la copie des informations sur les achats des pharmacies et des sociétés pharmaceutiques a pu commencer au moins un an avant la première détection de ce backdoor.
Pour plus d'informations sur l'installateur d'ePrica, consultez notre bibliothèque virale.
Plus d'informations sur le programme ePrica
20.07 Un Cheval de Troie ciblant Android prend le contrôle des appareils mobiles
Le 20 juillet 2017,
Les services d’accessibilité facilitent l’utilisation d’Android, notamment pour les personnes ayant un handicap (par exemple, les personnes malvoyantes). Ils permettent aux applications de cliquer de manière indépendante sur différents éléments de l’interface, comme les boutons dans les boîtes de dialogue et les menus système. Le Trojan force l’utilisateur à lui donner accès à ces services et les utilise pour s’ajouter par lui-même à la liste des administrateurs de l’appareil. Il prend ainsi la main sur la gestion des messages par défaut et accède à la fonction de capture d’écran. Toutes ces actions s’accompagnent de l’affichage de requêtes système qu’il confirme immédiatement. Si, par la suite, l’utilisateur tente de désactiver une fonction obtenue par le malware, il l’en empêche et renvoie l’utilisateur au menu système précédent.
Une fois qu’il a réussi à infecter un appareil,
- Envoyer un SMS au numéro indiqué dans la commande
- Envoyer au serveur des données SMS stockées en mémoire de l’appareil
- Transférer au serveur des données sur les applications installées, les contacts et les appels passés
- Ouvrir un lien indiqué dans la commande
- Modifier l’adresse du centre de commandes
Le malware suit tous les messages entrants et les envoie aux cybercriminels.
Au-delà des commandes « standard », les pirates peuvent envoyer des commandes spécifiques.
Elles contiennent des données chiffrées sur les applis que le malware est supposé attaquer.
Cela lui permet d’effectuer les actions suivantes :
- Afficher de faux formulaires d’entrée d’identifiants en haut des applis bancaires ouvertes ;
- Afficher une fenêtre de dialogue de phishing invitant l’utilisateur à entrer les données de sa carte bancaire (notamment lors d’un achat sur Google Play) ;
- Bloquer l’antivirus et d’autres applications qui pourraient interférer avec l’activité du Trojan.
A ce jour, le malware bancaire cible l’Allemagne, l’Australie, la Pologne, la France, le Royaume-Uni et les Etats-Unis. Au moment de la publication de cet article, il cible plus de 50 applications destinées à interagir avec des systèmes de paiement, des services de banque à distance et d’autres logiciels.
Exemples de fenêtres affichées par le malware :
Le malware recueille également des informations sur toutes les applications lancées et sur les actions des utilisateurs via ces applis. Il suit par exemple les champs « texte » comme des éléments de menus, il enregistre les touches tapées et d’autres éléments de l’interface utilisateur.
Enfin,
Etant donné que le malware empêche sa suppression, voici les actions recommandées en cas d’infection :
- Allumez le Smartphone ou la tablette infectés en mode sans échec (safe mode) ;
- *Entrez dans les paramètres système puis allez à la liste des administrateurs de l’appareil ;
- *Trouvez le Trojan dans la liste et reprenez les droits correspondants (à ce moment, le malware tentera d’effrayer l’utilisateur en l’avertissant que toutes ses données importantes pourraient être perdues, mais c’est un piège, les données ne sont pas en danger) ;
- *Redémarrez l’appareil, lancez un scan antivirus complet et supprimez le Trojan après le scan.
Toutes les versions connues d’
19.07 Dr.Web AV-Desk continue son expansion en Asie du Sud Est
Le 19 juillet 2017
Plus de 50 clients d’Espinat Data Global pourront désormais bénéficier de la protection antivirus Dr.Web en modèle Saas.
Lors du test de la solution, les ingénieurs de la société indonésienne ont souligné la stabilité du produit, la facilité avec laquelle il peut être déployé et administré, ainsi que la large gamme de fonctionnalités disponibles aussi bien pour les clients que pour les administrateurs système.
«Grâce à l’accompagnement de qualité de l’équipe de Doctor Web, nous avons pu déployer Dr.Web AV-Desk rapidement et sans difficultés. Le service nous permet de gérer pleinement la sécurité antivirus de nos clients», témoigne Rizal Muhammad, le CEO d’Espinat Data Global.
A propos d’ESPINAT DATA GLOBAL
ESPINAT DATA GLOBAL est un fournisseur de services télécom indonésien qui accompagne ses clients dans l’arrivée de l’ère digitale.
A propos de Dr.Web AV-Desk
Le service Internet Dr.Web AV-Desk a été créé par Doctor Web en 2007. Aujourd’hui, plus de 350 clients l’utilisent dans le monde entier et notamment en Russie, France, Pays-Bas, Espagne, Ukraine, Mongolie, Estonie, Lituanie et Kazakhstan.
18.07 Mise à jour de Dr.Web Bot pour Telegram
le 18 juillet 2017
La mise à jour augmente la limite de taille des objets scannés jusqu'à 20 Mo. La notification par défaut pour les nouvelles conversations a été modifiée comme suit : " Notifier des menaces seulement".
De plus, une erreur survenant lors du traitement des caractères cyrilliques et arabes dans les noms des fichiers analysés a été corrigée, une autre erreur pouvant survenir lors du téléchargement des fichiers depuis les serveurs de Telegram a également été corrigée.
Pour utiliser le bot, il suffit de trouver le compte @DrWebBot dans Telegram (ou d’aller à l'adresse telegram.me/drwebbot ) et d’envoyer un fichier ou un lien. Le bot effectue une analyse "à la volée" d’après les bases virales de Doctor Web et informe des résultats de l'analyse.
le 18 juillet 2017
Les modifications apportées dans le module de mise à jour améliorent l'interaction avec les serveurs de mise à jour Dr.Web.
Dans l'agent, l'erreur qui causait son arrêt anormal au démarrage sur les ordinateurs tournant sous OS Windows Server 2008 SP2 a été corrigée. De plus, la cause du crash de l'Agent lors du passage du mode utilisateur vers le mode administrateur au sein de Dr.Web Enterprise Security Suite 10.0 et 10.1 a été éliminée.
Dans Lua-script for av service, le problème qui empêchait la mise à jour du produit pour la protection des postes de travail dans le système où l'agent ES a été précédemment installé a été éliminée.
Pour les utilisateurs de Dr.Web, la mise à jour sera automatique.
11.07 SpIDer Agent a été mis à jour dans les produits Dr.Web 10.0 et 11.0 pour Windows
le 11 juillet 2017
Dans l'agent, l'erreur qui entraînait une remise à zéro du jeu de règles précédemment configuré pour les applications dans les paramètres du pare-feu a été corrigée.
Pour les utilisateurs de Dr.Web, la mise à jour sera automatique.
le 6 juillet 2017
Modification dans le module de mises à jour de tous les produits:
- l'interaction avec les serveurs de mises à jour a été optimisée.
Modifications dans le module de mise à jour pour Dr.Web Enterprise Security Suite:
- le problème pouvant provoquer l'augmentation du trafic lors de la réception des mises à jour multicasts pour les postes a été résolu.
Modifications dans Dr.Web Control Service pour Dr.Web Security Space, Dr.Web Antivirus, Dr.Web Antivirus pour serveurs de fichiers Windows et Dr.Web Enterprise Security Suite:
- le système d'intégration à Windows Security Center (Action Center) a été remanié,
- le problème qui empêchait d’effectuer l'action sélectionnée pour un type particulier de menaces dans les paramètres du moniteur de fichiers SpIDer Guard lors de la neutralisation de fichiers potentiellement dangereux a été corrigé.
Modifications dans le service Dr.Web Control Service pour Dr.Web Enterprise Security Suite et Dr.Web AV-Desk:
- le problème survenant sur certains postes de travail et pouvant empêcher la réception des mises à jour après l'application de la commande "Mettre à jour tous les composants" a été éliminé,
- l'erreur à la suite de laquelle, après le rétablissement de la connexion au serveur, le poste n’envoyait pas les informations sur les tâches lancées d’après la planification (au sein de Dr.Web Enterprise Security Suite 10.1) a été corrigée.
Modifications dans l'agent pour Dr.Web Security Space, Dr.Web Antivirus, Dr.Web Antivirus pour serveurs de fichiers Windows, Dr.Web Enterprise Security Suite et Dr.Web AV-Desk:
- une modification assurant la restauration de fichiers "sains" seulement après la reprise du scan de plusieurs objets se trouvant en quarantaine a été apportée.
Modifications dans l'agent pour Dr.Web Enterprise Security Suite:
- le changement de langue sur le serveur via la console a été corrigé.
Pour les utilisateurs de Dr.Web, la mise à jour sera automatique.
05.07 Doctor Web Central Asia partenaire de l'EXPO-2017
le 5 juillet 2017
Doctor Web Central Asie assurera la protection des systèmes informatiques de l'EXPO-2017 et fournira une assistance technique pour le déploiement et la maintenance du système de protection antivirus du salon.
A propos de EXPO-2017
L'exposition internationale EXPO-2017 aura pour thème "L'énergie du futur" et se tiendra à Astana, capitale du Kazakhstan, du 10 juin au 10 septembre 2017. L’exposition a donné lieu à la construction d’une ville entière qui s’étend sur une surface totale de 174 hectares et abrite 115 pavillons représentant autant de pays.
le 5 juillet 2017
L'application malveillante, appelée
Contrairement à la procédure de mise à niveau standard qui remplace entièrement une ancienne version par la nouvelle, le SDK en question permet de télécharger les composants requis séparément sans avoir à réinstaller tout le package. Ceci permet aux développeurs de maintenir la version du logiciel installé à jour même si l'utilisateur ne suit pas les mises à jour publiées. Mais la plateforme Excelliance fonctionne comme un Trojan Downloader, car elle est capable de télécharger et exécuter les composants de l’application non vérifiés. Etant dangereuse, cette méthode de mise à jour viole les règles du catalogue Google Play.
Le module de Trojan surveille l'activité réseau et tente de se connecter au serveur de contrôle. En fonction des paramètres du serveur,
Lors de l'installation des fichiers apk- téléchargés, l'utilisateur voit une fenêtre de dialogue standard, mais en cas d'accès root dans le système,
Les spécialistes de Doctor Web ont averti la société Google sur le comportement dangereux du composant de ce SDK utilisé dans le jeu BlazBlue, cependant au moment de la publication de cette news, sa version comportant
Les applications dans lesquelles ce Trojan est intégré sont détectées comme
04.07 Doctor Web : M.E.Doc contient un backdoor qui permet aux attaquants d’accéder à l'ordinateur
le 4 juillet 2017
Les chercheurs affirment qu'au départ, le
Ils ont donc prêté attention à cette clé de Registre en raison du fait que le même chemin est utilisé par le ransomware Trojan.Encoder.12703 . L'analyse des logs Dr.Web sur l'ordinateur d'un de nos clients a montré que le ransomware Trojan.Encoder.12703 a été lancé par l'application ProgramData\Medoc\Medoc\ezvit.exe, qui est un composant du programme M.E.Doc :
id: 425036, timestamp: 15:41:42.606, type: PsCreate (16), flags: 1 (wait: 1), cid: 1184/5796:\Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe
source context: start addr: 0x7fef06cbeb4, image: 0x7fef05e0000:\Device\HarddiskVolume3\Windows\Microsoft.NET\Framework64\v2.0.50727\mscorwks.dll
created process: \Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe:1184 --> \Device\HarddiskVolume3\Windows\System32\cmd.exe:6328
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: "cmd.exe" /c %temp%\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18o EJeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6 UGTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad9 2ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvD X0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
status: signed_microsoft, script_vm, spc / signed_microsoft / clean
id: 425036 ==> allowed [2], time: 0.285438 ms
2017-Jun-27 15:41:42.626500 [7608] [INF] [4480] [arkdll]
id: 425037, timestamp: 15:41:42.626, type: PsCreate (16), flags: 1 (wait: 1), cid: 692/2996:\Device\HarddiskVolume3\Windows\System32\csrss.exe
source context: start addr: 0x7fefcfc4c7c, image: 0x7fefcfc0000:\Device\HarddiskVolume3\Windows\System32\csrsrv.dll
created process: \Device\HarddiskVolume3\Windows\System32\csrss.exe:692 --> \Device\HarddiskVolume3\Windows\System32\conhost.exe:7144
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 0, new: 0, dbg: 0, wsl: 0
curdir: C:\windows\system32\, cmd: \??\C:\windows\system32\conhost.exe "1955116396976855329-15661177171169773728-1552245407-149017856018122784351593218185"
status: signed_microsoft, spc / signed_microsoft / clean
id: 425037 ==> allowed [2], time: 0.270931 ms
2017-Jun-27 15:41:43.854500 [7608] [INF] [4480] [arkdll]
id: 425045, timestamp: 15:41:43.782, type: PsCreate (16), flags: 1 (wait: 1), cid: 1340/1612:\Device\HarddiskVolume3\Windows\System32\cmd.exe
source context: start addr: 0x4a1f90b4, image: 0x4a1f0000:\Device\HarddiskVolume3\Windows\System32\cmd.exe
created process: \Device\HarddiskVolume3\Windows\System32\cmd.exe:1340 --> \Device\HarddiskVolume3\Users\user\AppData\Local\Temp\wc.exe:3648
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: C:\Users\user\AppData\Local\Temp\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18oE JeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6U GTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad92 ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvDX 0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
fileinfo: size: 3880448, easize: 0, attr: 0x2020, buildtime: 01.01.2016 02:25:26.000, ctime: 27.06.2017 15:41:42.196, atime: 27.06.2017 15:41:42.196, mtime: 27.06.2017 15:41:42.196, descr: wc, ver: 1.0.0.0, company: , oname: wc.exe
hash: 7716a209006baa90227046e998b004468af2b1d6 status: unsigned, pe32, new_pe / unsigned / unknown
id: 425045 ==> undefined [1], time: 54.639770 ms
Le fichier ZvitPublishedObjects.dll demandé depuis la machine contaminée avait le même hachage que l'échantillon examiné au Laboratoire de Doctor Web. Ainsi, nos analystes en ont conclu que le module de mise à jour du programme M.E.Doc, réalisé sous forme de la bibliothèque dynamique ZvitPublishedObjects.dll comprend un backdoor. Une enquête plus poussée a révélé que ce backdoor est capable de réaliser dans le système infecté les fonctionnalités suivantes :
- la collecte de données pour l'accès aux serveurs de messagerie;
- l'exécution de n'importe quelles commandes dans l'OS contaminé;
- le téléchargement sur l'ordinateur contaminé de fichiers particuliers;
- le téléchargement et le lancement de n'importe quels fichiers exécutables;
- il peut uploader des fichiers vers un serveur distant.
Le fragment suivant du code du module de mise à jour M.E.Doc semble très intéressant, car il permet de lancer une charge dite utile à l'aide de l'utilitaire rundll32.exe accompagné du paramètre #1:
C'est ainsi que le ransomware NePetya, Petya.A, ExPetya et WannaCry-2 (
Dans une interview publiée sur le site de l'agence Reuters , les développeurs du programme M.E.Doc ont affirmé que leur application ne contenait pas de fonctionnalités malveillantes. Compte tenu de cette interview et en prenant en compte les résultats de l'analyse statique du code, les analystes de Doctor Web ont conclu que des pirates non identifiés avaient infecté un des composants M.E.Doc. Ce composant a été ajouté aux bases de données virales Dr.Web sous le nom de
03.07 Doctor Web : aperçu des menaces mobiles pour le mois de juin 2017
le 3 juillet 2017
Au mois de juin, les analystes de Doctor Web ont détecté un Trojan ciblant Android qui espionnait les utilisateurs en Iran et exécutait des commandes distantes. Plusieurs applications malveillantes ont également été détectées sur Google Play. L'une d'entre elles tentait d'obtenir l'accès root, s'introduisait dans les bibliothèques système et était capable d'installer des logiciels de manière cachée. Les autres envoyaient des SMS payants et abonnaient les utilisateurs à des services onéreux. Des programmes potentiellement dangereux, dont l'utilisation induisait un risque de fuites de données confidentielles ont également été détectés sur GP. Enfin, un nouveau ransomware ciblant Android a été détecté au mois de juin.
Les principales tendances du mois de juin
- Détection d'un Trojan ciblant Android et conçu à des fins d'espionnage,
- Détection de menaces sur Google Play.
- Propagation d’un Trojan Encoder ciblant Android
Menace " mobile "du mois
Au mois de juin, les analystes de Doctor Web ont détecté le malware
Caractéristiques d’
- le malware se propage sous couvert d’applications utiles,
- il vole des SMS, les contacts de l’annuaire téléphonique et les informations sur le compte Google de l'utilisateur,
- il peut prendre des photos avec la caméra frontale,
- il est contrôlé par via le protocole Telegram.
Pour plus d'infos consultez cet article.
Selon les données fournies par les produits antivirus Dr.Web pour Android
Android.HiddenAds .83.originAndroid.HiddenAds .76.originAndroid.HiddenAds .85.origin- Trojans conçus pour afficher des publicités. Ils sont propagés sous couvert d’applications populaires par d'autres programmes malveillants, qui, dans certains cas, les installent dans le répertoire système à l'insu de l'utilisateur.
Android.DownLoader .337.origin- Trojan conçu pour installer d'autres logiciels malveillants.
Android.Triada .264.origin- Représentant de Trojans multi-fonctions qui exécutent une variété d'actions malveillantes.
Selon les données fournies par les produits antivirus Dr.Web pour Android
- Adware.Jiubang.1
- Adware.SalmonAds.1.origin
- Adware.Batmobi.4
- Adware.Avazu.8.origin
Adware.Leadbolt .12.origin- Modules de programmes indésirables intégrés à des applications Android et conçus pour afficher des publicités sur les appareils mobiles.
Menaces sur Google Play
Au cours du mois dernier, les spécialistes de Doctor Web ont détecté sur Google Play des programmes potentiellement dangereux conçus pour assurer la connexion aux réseaux sociaux VKontakte et Odnoklassniki bloqués en Ukraine. Ces applications déjà ajoutées à la base de données virales comme
Au mois de juin, des Trojans de la famille
Les autres Trojans ciblant Android et propagés via Google Play au mois de juin ont été ajoutés à la base virale Dr.Web comme
Trojan Encoder
Au mois de juin, le Trojan
Les criminels demandaient un paiement de 20 yuans, et ce montant était doublé tous les 3 jours. Si une semaine après la contamination de l'appareil, les cybercriminels ne percevaient pas d’argent,
Les programmes malveillants ou potentiellement dangereux ciblant Android peuvent pénétrer dans les appareils mobiles non seulement pendant le téléchargement sur des sites web différents, mais également lors du téléchargement sur Google Play. Les propriétaires de Smartphones et tablettes doivent rester vigilants en installant des applications inconnues, ils sont également invités à utiliser les produits antivirus Dr.Web pour Android.
Votre Android a besoin d'être protégé
Utilisez Dr.Web
- Le premier antivirus russe pour Android
- Plus de 100 millions de téléchargements sur Google Play !
- Gratuit pour les utilisateurs de produits Dr.Web pour les particuliers
le 3 juillet 2017
| Lire le rapport |
![[You Tube]](social/youtube.png)
