Для распространения вирусного кода была задействована тизерная сеть, включающая ряд популярных российских новостных ресурсов.
В ходе исследования, проведенного экспертами «Лаборатории Касперского», было установлено, что заражению подвергались посетители сайтов российских онлайн СМИ, которые используют на своих страницах тизеры сети, организованной при помощи технологий AdFox. При загрузке одного из тизеров новостей браузер пользователя скрытно перенаправлялся на вредоносный сайт, содержащий Java-эксплойт. Однако в отличие от стандартных drive-by атак вредоносная программа не загружалась на жесткий диск, а функционировала исключительно в оперативной памяти компьютера.
Действуя в качестве бота, зловред посылал на сервер злоумышленников запросы и данные об истории посещения сайтов из браузера пользователя. Если в переданных данных содержалась информация об использовании системы дистанционного банковского обслуживания, на зараженный компьютер устанавливался троянец Lurk, предназначенный для хищения конфиденциальной информации пользователей для доступа к системам онлайн-банкинга ряда крупных российских финансовых организаций.
В результате исследования было установлено, что сама сеть AdFox не является источником заражения. Изменения в код баннеров анонсов новостей путем добавления к ним ссылки на вредоносный сайт были внесены злоумышленниками с аккаунта одного из клиентов AdFox. Так, они получили возможность атаковать посетителей не только одного новостного сайта, но и прочих ресурсов, которые используют у себя подобную систему. В результате, количество потенциально атакованных пользователей может достигать десятков тысяч.
Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского»:
— Мы имеем дело с уникальной атакой. Использование злоумышленниками тизерной сети, является одним из самых эффективных способов установки вредоносного кода, ввиду наличия на него ссылок с большого количества популярных ресурсов. Кроме того, мы впервые за несколько последних лет столкнулись с редкой разновидностью зловредов — так называемыми «бестелесными» вредоносными программами, которые не существуют в виде файла на диске, а функционируют исключительно в оперативной памяти зараженного компьютера, что значительно усложняет процесс его обнаружения с помощью антивируса.
«Бестелесные» программы работают только до перезагрузки операционной системы, однако вероятность того, что пользователь вновь попадет на зараженный новостной сайт, остается высокой. Эксперты «Лаборатории Касперского» предупреждают, что единственным надежным способом защиты от вредоносных программ, использующих уязвимости, является своевременная установка обновлений. В данной ситуации для устранения уязвимости CVE-2011-3544 в Java рекомендуется установка патча от Oracle.
Подробнее на сайте
