4 ottobre 2019

Gli specialisti del laboratorio di virus Doctor Web hanno rilevato una copia malevola del sito del Servizio federale degli ufficiali giudiziari della Russia. Gli hacker utilizzano il sito falso per infettare gli utenti da Trojan.DownLoader28.58809.

La copia del sito Servizio ufficiali giudiziari è stata rilevata dai nostri specialisti sull'indirizzo 199.247.***.***. Il sito falso non è molto diverso da quello originale esternamente, ma a differenza del sito ufficiale, alcuni suoi elementi non sono visualizzati correttamente.

Se tenta di fare clic su alcuni link sul sito, l'utente verrà reindirizzato a una pagina con un avviso sulla necessità di aggiornare Adobe Flash Player. Allo stesso tempo un file .exe verrà scaricato sul dispositivo dell'utente, all'avvio del quale verrà installato Trojan.DownLoader28.58809.

Questo trojan viene impostato all'esecuzione automatica nel sistema dell'utente, si connette con il server di gestione e scarica un altro modulo malevolo – Trojan.Siggen8.50183. Oltre a ciò, viene scaricato sul dispositivo dell'utente un file che ha una firma digitale valida Microsoft ed è progettato per l'avvio della principale libreria malevola. In seguito, Trojan.Siggen8.50183 raccoglie informazioni sul sistema dell'utente e le invia sul server di gestione. Una volta installato, il trojan sarà sempre in esecuzione sul dispositivo dell'utente e potrà eseguire varie azioni al comando dal server di gestione.

Avviato sul dispositivo della vittima, il trojan può:

• ottenere informazioni sui dischi;
• ottenere informazioni su un file;
• ottenere informazioni su una cartella (scoprire il numero di file, cartelle nidificate e la loro dimensione);
• ottenere la lista di file in una cartella;
• eliminare file;
• creare una cartella;
• spostare un file;
• avviare un processo;
• terminare un processo;
• ottenere la lista di processi.

Secondo i nostri dati, gli hacker non lanciavano ancora campagne di virus su larga scala utilizzando il sito falso, ma poteva essere utilizzato in attacchi a singoli utenti o organizzazioni.

Tutte le versioni di questo trojan vengono rilevate e rimosse con successo dall'antivirus Dr.Web e non rappresentano alcun rischio per i nostri utenti.