ВКонтакте появился опасный вирус

[Лёха]

Пользователи популярной социальной сети "ВКонтакте.Ру" стали жертвами серьезной вирусной эпидемии, говорится в сообщении компании "Доктор Веб", служба вирусного мониторинга которой зарегистрировала вредоносную программу.

 

В сообщении уточняется, что причиной эпидемии стал опасный сетевой "червь", который рассылает с инфицированных машин другим пользователям сети "ВКонтакте.Ру" ссылку на картинку в формате jpeg, ведущую на ресурс злоумышленника в сети интернет (http://******.misecure.com/deti.jpg). Реально же сервер передает по этой ссылке исполняемый файл deti.scr, который и является непосредственно сетевым "червем".

 

Будучи запущенным на компьютере жертвы, червь сохраняет на диске саму картинку, которая и вызвала любопытство неосторожного пользователя, и запускает штатное приложение, используемое в системе для просмотра файлов jpeg. Таким образом, пользователь видит то, что ожидал увидеть, не подозревая, что стал жертвой злоумышленника.

 

Между тем, скопировав себя в папку на жестком диске компьютера жертвы под именем svc.exe, "червь" устанавливается в системе в качестве сервиса Durov VKontakte Service и ищет пароль к доступу к "ВКонтакте.Ру". Если пароль находится, то "червь" получает доступ ко всем контактам своей жертвы в данной сети и рассылает по этим контактам все ту же ссылку.

 

"Червь" несет в себе опасную деструктивную функцию. 25 числа каждого месяца в 10 часов утра на экране компьютера будет выводиться следующее сообщение (орфография сохранена):

Цитата

Павел Дуров Работая с "ВКонтакте.РУ" Вы ни разу не повышали свой рейтинг и поэтому мы не получили от Вас прибыли. За это Ваш компьютер будет уничтожен! Если обратитесь в милицию, то сильно пожалеете об этом!

Одновременно с этим начнется удаление с диска C всех файлов, говорится в сообщении.

 

"Если пользователь будет достаточно долго вчитываться в данный текст и предастся размышлениям относительно его содержания, он рискует потерять не только все системные файлы, но и свои файлы данных - документы, фотографии, электронные письма и многое другое", - предостерегают эксперты "Доктор Веб".

 

"Поэтому самое лучшее действие при появлении такого сообщения - немедленное выключение питания компьютера, что позволит, по крайней мере, сохранить если не все данные, то хотя бы их часть", - советуют они.

 

В сообщении также отмечается, что специалисты компании "Доктор Веб" предупредили об опасности сайт "ВКонтакте.Ру", в результате чего распространение червя практически прекратилось. Тем не менее, специалисты компании рекомендуют пользователей сайта, которые посмотрели картинку на названном выше ресурсе, проверить свой компьютер на вирусы.

Социальные сети, такие как facebook, MySpace, Orkut и т.д., являются одними из наиболее популярных сетевых ресурсов современного Интернет. Фактически, именно они олицетворяют собой то, что называется Web 2.0.

Авторы вредоносных программ уже обратили свое внимание на социальные сети и некоторые из них становились объектами атак, в том числе нацеленных на получение персональных пользовательских данных.

 

В России среди социальных сетей наибольшей популярностью пользуются проекты Vkontakte, Odnoklassniki и LiveJournal.

Вчера и сегодня мы обнаружили распространение сетевого червя Rovud, который распространяется среди пользователей системы VKontakte.

 

Первый вариант червя был обнаружен рано утром 16 мая. Принцип его действия достаточно прост, но вместе с тем оригинален:

Тело червя размещено на одном из сайтов (возможно, взломанном) под именем deti.jpg. Для первого варианта червя ссылка имела вид:

 

hxxp://Roland.misecure.com/deti.jpg

 

На самом деле это не файл изображения, а исполняемый файл.

 

Будучи запущенным на компьютере – червь ищет cookies пользователя ВКонтакте, после чего использует их для соединения с сайтом и начинает рассылать вредоносную ссылку всем «контактам» зараженного пользователя.

Если кто-нибудь из них проследует по ссылке, загрузит и запустит файл – цикл заражения повторится и теперь уже и «контакты» новой жертвы так же получат эту ссылку.

 

Работа червя сопровождается визуальными эффектами. Так, при запуске, он показывает на экране картинку:

 

Несмотря на то, что первый вариант червя достаточно быстро был обнаружен и другими антивирусными компаниями, а служба поддержки «ВКонтакте» была проинформирована об инциденте – остановить эпидемию за один день не удалось.

 

Неизвестные авторы червя изменили формат ссылки на зараженный сайт, которая посылается контактам жертвы, и таким образом смогли инициировать новую волну эпидемии. Очевидно, что администрация ВКонтакте просто программно запретила сообщения с ссылкой на файл deti.jpg. Авторы червя очень элегантно обошли это «ограничение».

 

Вариант Rovud.c рассылал ссылку:

 

hxxp://vkontakte.ru/away.php?to=%68%74%74%70%3a%2f%2f%72%6f%6c%61%6e%64%2e%6d%

69%09%73%65%09%63%75%72%65%2e%63%6f%6d%2f%64%65%74%69%2e%6a%70%67

 

В результате нажатия на нее – пользователь перенаправлялся все на тот же самый сайт (hxxp://roland.misecure.com/deti.scr

 

Новый вариант — Rovud.c был обнаружен утром 17 мая и в настоящее время количество обращений от пользователей, обнаруживших его «вредоносные» ссылки в своих учетных данных ВКонтакте – значительно превышает число запросов, связанных с первой версией червя!

 

Что еще более интересно – у этого червя существует предыстория. Дело в том, что за день до его появления, по Рунету прошлая массовая волна фишинговой атаки. Ее целью являлась «накрутка» рейтинга некоего пользователя:

 

Вконтакте.ру начинает розыгрыш призов, а также гарантированный бонус в размере +300% к Вашему текущему рейтингу.

Для получения бонуса и участия в розыгрыше призов — отправьте бесплатное СМС с текстом: id10682124 на номер 4449

 

С уважением,

Администрация Вконтакте.ру

 

Разумеется, она не бесплатная – стоимость смс составляет $0.30 без НДС.

В тот же день личная страничка данного пользователя была удалена администрацией ВКонтакте.

 

А на следующий день появился червь Rovud – обыгрывающий тему с повышением рейтинга и «адресованный» якобы от Павла Дурова, создателя проекта ВКонтакте.

 

Что это – просто месть «обиженных» хакеров или же некая продуманная атака против ВКонтакте, призванная подорвать его репутацию и снизить число пользователей – мы не знаем.

 

На момент написания этого поста – файл червя уже удален с сайта, с которого происходило его распространение. Однако, это не исключает того, что в ближайшее время в Рунете появится очередной вариант Rovud.

[MURAD]

Лишнее подтверждение тому' что антивирусные базы надо обновлять как можно чаще ....

Наверняка пользователи Вэба получили заплатку вместе с обновлением' да и остальные тоже ...

В идеале обновление баз не реже 1 раза в сутки)