Корпорация Eset опубликовала новые подробности о принципах работы троянского приложения, который атакует пользователей российских социальных ресурсов.

Специалисты рассказали, основное назначение вируса Win32/Bicololo.A – кража персональных данных. Вредоносный код распространяется под видом ссылок на файлы с расширением .jpg (картинки). В момент перехода по данной ссылке вместо картинки загружается троянская программа.

После проникновения в операционную систему, вирус редактирует файл hosts таким образом, чтобы вместо легального ресурса пользователь попадал на поддельную страницу. Все данные, введенные на таком сайте, сохраняются и отправляются злоумышленникам. Записи, в частности, блокировали открытие таких ресурсов как «ВКонтакте», «Одноклассники» и Mail.ru.

Специалисты выявили образцы вредоносного кода одновременно в четырех странах – Аргентине, Чили, Колумбии и Бразилии. Это позволило сделать предположение, что вирус имеет латиноамериканское происхождение. Однако в дальнейшем, после углубленного анализа Win32/Bicololo, появились факты, которые свидетельствовали о российском происхождении троянской утилиты.

По данным специалистов Eset, интернет-ресурсы, используемые для распространения вредоносного ПО (расположены в доменах .co, .cl, .br, .ar), являются вполне легальными сайтами. Злоумышленники специально инфицировали страницы, чтобы распространять вирус Win32/Bicololo. Вероятнее всего, данные ресурсы были обнаружены путем автоматического сканирования при помощи специализированного программного обеспечения.

В мошеннической схеме также были задействованы два сервера. Один из них использовался для хранения поддельных страниц, которые копировали дизайн Mail.ru, «Одноклассников» и «ВКонтакте», второй выполнял роль управляющего узла. Используемые IP-адреса указывают на то, что они физически расположены не в Латинской Америке.

В этом году семейство вирусов Win32/Bicololo часто попадает в рейтинги самых распространенных в РФ вредоносных приложений. Различные модификации троянской утилиты могут распространяться различными способами, имитируя легальные файлы и программы. В компании рекомендуют пользователям проявлять максимальную осторожность при работе в интернете, не переходить по подозрительным ссылкам, а также использовать надежное антивирусное ПО.