Корпорация Symantec раскрывает информацию о новой стадии распространения вируса типа Xpiro, который становится самым массовым кросплатформенным вирусом. Новая угроза также отличается крайней жизнестойкостью, а внедрив дополнения для браузеров Mozilla Firefox и Google Chrome, вирус может расширить свои возможности относительно кражи информации.
Корпорация Symantec раскрывает информацию о новой стадии распространения вируса типа Xpiro, который становится самым массовым кросплатформенным вирусом. Новая угроза также отличается крайней жизнестойкостью, а внедрив дополнения для браузеров Mozilla Firefox и Google Chrome, вирус может расширить свои возможности относительно кражи информации.
Проведя в забвении какое-то время, вирусы типа Xpiro с шумом вернулись, и на этот раз – приобретя ряд опасных функций. Новый вариант не только вышел за рамки 32-битности и способен заражать 64-битные файлы. Это свойство также кроссплатформенно – 32-битный вариант Xpiro может заражать 64-битные файлы и наоборот.
Создатели Xpiro стремятся заразить большое число компьютеров, и в своем стремлении распространить эту весьма жизнестойкую угрозу они готовы пустить в ход все имеющиеся средства.
Традиционно вирусы распространяются посредством заражения других исполняемых файлов, при этом их создатели не заботятся об их жизнестойкости. В рассматриваемой угрозе применена хитроумная уловка, которая учитывает и эту сторону. Сначала вирус создает список всех служб win32 и пытается заразить файлы этих служб. Затем угроза просматривает все ярлыки (файлы расширения .lnk) на рабочем столе и в меню «Пуск» и пытается заразить файлы, к которым они ведут. Предпочтение отдается именно этим файлам, потому что есть высокая вероятность их запуска пользователем или системой при включении компьютера, что обеспечивает работу вируса даже после ряда перезагрузок. И наконец, вирус заражает все исполняемые файлы на всех – локальных, переносных и сетевых – дисках от C до Z.
Эта новая разновидность заражает файлы архитектуры Intel 64 лишь в связи с ошибкой в коде вируса, и в результате файлы просто оказываются поврежденными. ПО Symantec выявляет и восстанавливает такие файлы.
Эксперты Symantec считают, что конечная цель вирусов семейства Xpiro – кража информации с зараженных систем. Когда Xpiro успешно запускается на компьютере, помимо заражения исполняемых файлов он устанавливает на браузеры Mozilla Firefox и Google Chrome дополнения. Дополнения для Firefox скрыто, а в Chrome оно названо Google Chrome 1.0, так что не привлекает к себе внимания пользователей.
Когда пользователь пытается совершить обновление браузера или его дополнений, ничего не выходит, потому что Xpiro меняет соответствующий адрес страницы обновлений на браузер 127.0.0.1, локальный IP адрес. Тем самым Xpiro защищается от изменений, которые могли бы раскрыть его вредоносную сущность.
Кроме того, это скрытое дополнение отключает отображение целого ряда оповещений, связанных с безопасностью, а также ряд функций, которые обычно защищают пользователей от фишинговых атак.
Создатели Xpiro расширили функционал новой угрозы, сделав ее жизнестойкой, более незаметной, а главное – дав ей способность заражать исполняемые файлы сразу нескольких архитектур. Эксперты Symantec ожидают, что вирусы других семейств последуют примеру Xpiro и также обзаведутся этим продвинутым функционалом с целью повышения своей конечной эффективности. Компания Symantec прилагает все усилия, чтобы защищать файлы и личные данные пользователей от таких продвинутых угроз. Антивирусное ПО Symantec определяет эти новые разновидности как W32.Xpiro.D и W64.Xpiro и осуществляет как нейтрализацию угроз, так и восстановление поврежденных файлов. Symantec настоятельно рекомендует своим клиентам всегда своевременно обновлять базы данных их антивирусного ПО.
