le 4 octobre 2019

Les experts du Laboratoire de Doctor Web ont détecté une copie malveillante du site du Service fédéral des Huissiers (FSSP) Russes. Les pirates ont utilisé un faux site pour infecter les utilisateurs par le Trojan.DownLoader28.58809.

Une copie du site FSSP Russie a été détectée par nos experts à l'adresse 199247. ***. ***. En apparence, le faux site n'est pas très différent de l'original, mais certains éléments sont affichés de manière incorrecte.

En cas de tentative de visiter certains liens publiés sur le site, l'utilisateur est redirigé vers une page qui rappelle la nécessité de mettre à jour le lecteur Adobe Flash Player. En même temps, un fichier .exe est téléchargé sur l'ordinateur de l'utilisateur et installe le Trojan.DownLoader28.58809 une fois lancé.

Le Trojan est ainsi installé dans l'auto-démarrage du système, puis il se connecte à son serveur de contrôle et télécharge un autre module malveillant qui est le Trojan.Siggen8.50183. Un autre fichier encore est téléchargé sur la machine de l'utilisateur avec une signature numérique Microsoft valable et est destiné à lancer la bibliothèque malveillante principale.

Trojan.Siggen8.50183 recueille ensuite des informations sur le système de l'utilisateur et les envoie au serveur de contrôle. Une fois installé, le Trojan sera toujours lancé sur la machine et pourra exécuter différentes actions sur commande du serveur de contrôle

Lancé sur une machine, le Trojan est en mesure d'effectuer les actions suivantes :

• obtenir des informations sur les disques
• obtenir des informations sur un fichier en particulier
• obtenir des informations sur un dossier en particulier (le nombre de fichiers, le nombre de sous-dossiers et leurs tailles)
• obtenir une liste des fichiers se trouvant dans un dossier en particulier
• supprimer des fichiers
• créer un dossier
• déplacer un fichier
• lancer un processus
• terminer un processus
• obtenir une liste des processus.

Selon nos informations, les pirates n'ont pas encore lancé de campagnes virales massives en utilisant ce site contrefait, mais ils peuvent l'utiliser pour attaquer des utilisateurs particuliers ou des sociétés.

Dr.Web Antivirus détecte et supprime toutes les versions de ce Trojan, qui ne représente donc aucun danger pour nos utilisateurs.

Indicateurs de compromission