Вирус ползет с украинских серверов

Trojan мутирует и вымогает у пользователей деньги Специалисты «Лаборатории Касперского» сообщают, что вредоносная программа Kido (Conficker, Downadup) трансформировалась в новую версию. В ночь с 8 на 9 апреля компьютеры, зараженные Trojan-Downloader.Win32.Kido и взаимодействуя друг с другом через P2P-соединения, отдали команду другим зараженным машинам на загрузку новых файлов.

Теперь Kido загружает на зараженные компьютеры два новых файла. Первый файл - FraudTool.Win32.SpywareProtect2009.s представляет собой поддельный антивирус. По данным «Лаборатории Касперского», он загружается с серверов, расположенных на территории Украины. При запуске эта программа предлагает удалить обнаруженные вирусы за плату в размере 50 долларов. Второй файл, почтовый червь Iksmas, или Waledac, способен красть данные и рассылать спам. Его появление многие эксперты зафиксировали в январе 2009 года.

Один такой бот способен отправлять в сутки примерно 80 тыс. писем со спамом. Так как количество зараженных машин достигает 5 млн, то за сутки может быть разослано около 400 млрд писем.

Кроме того, есть сведения о появлении новой троянской программы Trojan.Winlock, которая блокирует Windows и так же, как «фальшивый» антивирус, вымогает у пользователей деньги, но уже под другим предлогом. При запуске компьютера выводится сообщение о необходимости отправить SMS-сообщение с текстом для получения кода, якобы необходимого для регистрации нелицензионной копии Windows. Особенностью этой программы является то, что она удаляет себя через два часа после запуска.

Ведущий антивирусный эксперт «Лаборатории Касперского» Виталий Камлюк рассказал корреспонденту «Газеты», что, согласно предварительным исследованиям, новая версия Kido снова содержит в себе функции сетевого червя. То есть использует ту же критическую уязвимость MS08-067 в семействе операционных систем Windows, что и в самых первых версиях. Эта разновидность вируса не обращается к веб-серверам, как это делали ее предшественники. Управление переведено на режим P2P, когда команды и обновления передаются от компьютера к компьютеру.

По мнению эксперта, очередная модификация Trojan - результат совместной работы нескольких хакерских группировок. Камлюк пояснил, что распространение Kido давно преодолело все границы, и теперь вредоносная программа присутствует во всех странах. «Большинство зараженных компьютеров находится в Китае, Бразилии и России, - сказал он. - Распространение в России довольно масштабное. Многие системные администраторы до сих пор испытывают проблемы с лечением Kido. Как показывает практика, полная очистка локальной сети занимает у среднестатистического системного администратора от трех до пяти недель».

Напомним, что корпорация Microsoft в феврале предложила вознаграждение в размере $250 тыс. за информацию, которая поможет в поимке автора или авторов этой программы.

13.04.2009 / АЛЕКСАНДРА КОШКИНА