Версия для печати темы

Автор: Deomon(RUS) 10.8.2011, 1:36

5 августа 2011 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — сообщает об обнаружении новой схемы заражения компьютеров пользователей вредоносным ПО. На этот раз целью злоумышленников стали любители популярной игры Counter-Strike 1.6: в момент подключения пользователей к одному из игровых серверов на их ПК начинают загружаться файлы со скрытыми в них троянскими программами.

Обычно при соединении с сервером Counter-Strike программа-клиент скачивает с удаленного узла компоненты, отсутствующие на клиентской машине, но используемые в игре. В данном же случае на экране компьютера пользователя открывается стандартное окно браузера, предлагающее скачать два исполняемых файла: svhost.exe и bot2.exe, а также файл с именем admin.cmd (в начале этого года данный файл раздавался под именем Counter-Strike.cmd). Следует отметить, что такое поведение нестандартно для программного обеспечения игры Counter-Strike





В ходе проведенного аналитиками компании «Доктор Веб» расследования удалось установить следующее. Изначально группой злоумышленников был создан игровой сервер Counter-Strike, распространявший троянскую программу Win32.HLLW.HLProxy (некоторое время назад этот троянец вообще распространялся среди поклонников Counter-Strike в качестве «полезного» приложения, поэтому многие самостоятельно скачали и установили его на свой ПК).

Технология «раздачи» троянца была весьма интересной: при любом подключении к игровому серверу игроку демонстрируется специальное окно приветствия MOTD, в котором может присутствовать реклама сервера или какие-либо установленные его администрацией правила. Содержимое этого окна представляет собой HTML-файл. Созданный злоумышленниками файл MOTD содержит скрытый компонент IFRAME, с помощью которого выполнялся редирект на один из принадлежащих им серверов. С него, в свою очередь, загружался и устанавливался на компьютер жертвы файл admin.cmd, содержащий троянца Win32.HLLW.HLProxy.

Основное назначение троянца заключается в том, что он запускает на компьютере игрока прокси-сервер, эмулирующий на одной физической машине несколько игровых серверов Counter-Strike и передающий соответствующую информацию на серверы VALVE. При обращении к сэмулированному троянцем игровому серверу программа-клиент перебрасывалась на настоящий игровой сервер злоумышленников, откуда игрок тут же получал троянца Win32.HLLW.HLProxy. Таким образом, количество зараженных компьютеров росло в геометрической прогрессии. Пример работы троянца показан на следующей иллюстрации, демонстрирующей несколько игровых серверов, якобы запущенных на инфицированной машине с одним IP-адресом:



Помимо этого, троянец обладает функционалом, позволяющим организовывать DDoS-атаки на игровые серверы и серверы VALVE, благодаря чему значительная их часть в разное время могла оказаться недоступна. Можно предположить, что одной из целей злоумышленников являлся сбор денег с владельцев игровых серверов за подключение к ним новых игроков, а также DDoS-атаки на «неугодные» игровые серверы. В настоящее время, помимо собственно троянца, подключавшимся к серверу игрокам раздаются дополнительные «подарки».

Так, проведенный специалистами «Доктор Веб» анализ выявленных угроз показал, что в файле svhost.exe скрывается троянец-кликер Trojan.Click1.55929, накручивающий показатели посещаемости сайта w-12.ru и связанный с партнерской программой http://tak.ru. Попав на инфицированный компьютер, троянец создает свою копию с именем SVH0ST.EXE в папке C:\Program Files\Common Files, запускается на исполнение и начинает использовать заложенный в него разработчиками функционал. В файле bot2.exe «прячется» уже хорошо известный Trojan.Mayachok.1, о котором мы подробно писали в одной из предыдущих публикаций.

В настоящее время сигнатуры этих угроз добавлены в вирусные базы Dr.Web. Любителям игры Counter-Strike мы рекомендуем проявлять внимательность: не следует соглашаться с предложением операционной системы о загрузке и установке на компьютер каких-либо исполняемых файлов.

Компания «Доктор Веб» выражает искреннюю благодарность нашему вирусхантеру Михаилу Мальцеву за помощь в обнаружении угрозы.


Взято с сайта компания «Доктор Веб».
http://news.drweb.com/?i=1816&c=5&lng=ru&p=0

Автор: Buckstabue 10.8.2011, 6:23

О, это я уж давно заметил. Именно по этому я не снимаю галочку "всегда спрашивать при открытии этого типа файлов". Хотя не знаю, что будет, если я один раз сниму эту галочку. Может только этот экзешник будет запускаться без подтверждения :-?

Автор: <3 ejkeke 10.8.2011, 10:00

поэтому наш сервак и падал так часто

Автор: Noob_01 10.8.2011, 15:54

Да, без подтверждения. У тебя получается ХР, вот тебе статья - http://support.microsoft.com/kb/883260/ru

Автор: Invis 11.8.2011, 18:08

Боюсь спросить - где связь?
Выше приведён рассказ об образовании ботнета, точнее как он появился когда-то.
Но на русклане никогда ничего подобного не скачивалось и не присутствовало.
В первую очередь ботнет был создан для создания кучи фейк-серверов.

Автор: <3 ejkeke 11.8.2011, 18:15

я про то, что некоторые игроки когда конектились, падал сервак. я предполагаю что причина могла быть из-за того, что кто то эту шнягу подцепил

Автор: Invis 11.8.2011, 18:43

Нет, причина была в одном из багов хлдс.

Автор: N.eX_Maximus 11.8.2011, 20:46

я малость с тобой не соглашусь, многие механики и электронщики(сообщество) пытаются найти истину(причину) что могло вывести из строя тот или иной механизм или систему( а не то что вышло из строя) при существующей системе наработке на отказ , к примеру --- в игровой процесс вмешались два геймера через скайп(событие вмешательства) карта была трейн(мне команда не поверила что в игре что то не так), потом игровой админ банит одного из них за WH, потом второй геймер жалуется( в голосовой чат) за что бан его другу(мы такие пушистые болтали во время игры через скайп" это же не WH, а вы типа лохи))))),
мной было на писано сообщение в теме за что бан( как обвинитель) то что эти два ламера были не честны во время игры, и мне за это предупреждения( не особо важно для меня), и таких причин событий за 24 часа очень много.
любое вмешательство в механический , электронно-механический или программный процесс итд , что может повлиять на процесс( по определению ошибок ввод/вывод и так достаточно, + сторонний процесс)может вывести из строя любой механизм или группу машин или систему

Автор: SainT 11.8.2011, 21:02

блин у меня стоит этот антивирус и я не парюсь! ))

Автор: Invis 12.8.2011, 11:25

Это тут при чём?

Сервер падал изз бага в движке HLDS, а именно баг автобая.
Достаточно было написать в консоли, перед подключением к серверу: "cl_setautobuy bolshaya_dlinnaya_stroka_dlinoy_bolshe_32_simvolov", и при заходе сервак падал. А если точнее - переполнялся буфер сервера. Далее именно на сервере данный баг был исправлен, и теперь подобным образом его не уронить. Причина найдена. Следствие известно. Причина устранена.

P.S. В твой текст вник далеко не с первой попытки. И-то не до конца.

Автор: N.eX_Maximus 12.8.2011, 12:30

я доволен что вник
а сколько времени прослужили харды???