Xpiro становится самым массовым кроссплатформенным вирусом

Symantec сообщает о новой стадии распространения вируса типа Xpiro, который становится самым массовым кроссплатформенным вирусом. Новая угроза также отличается высокой жизнестойкостью, а внедрив дополнения для браузеров Mozilla Firefox и Google Chrome, вирус может расширить свои возможности по краже информации.

Новый вариант не только способен заражать 64-битные файлы, это свойство также кроссплатформенно — 32-битный вариант Xpiro может заражать 64-битные файлы и наоборот.

Традиционно вирусы распространяются посредством заражения других исполняемых файлов, при этом их создатели не заботятся об их жизнестойкости. В рассматриваемой угрозе применена хитроумная уловка, которая учитывает и эту сторону. Сначала вирус создает список всех служб win32 и пытается заразить файлы этих служб. Затем угроза просматривает все ярлыки (файлы расширения .lnk) на рабочем столе и в меню «Пуск» и пытается заразить файлы, к которым они ведут. Предпочтение отдается именно этим файлам, потому что есть высокая вероятность их запуска пользователем или системой при включении компьютера. И наконец, вирус заражает все исполняемые файлы на всех — локальных, переносных и сетевых — дисках от C до Z.

Эксперты Symantec считают, что конечная цель вирусов семейства Xpiro — кража информации с зараженных систем. Когда Xpiro успешно запускается на компьютере, помимо заражения исполняемых файлов он устанавливает на браузеры Firefox и Chrome дополнения, которые следят за интернет-активностью пользователей. Плагин для Firefox скрыт, а в Chrome он назван Google Chrome 1.0.

Когда пользователь пытается совершить обновление браузера или его дополнений, ничего не выходит, потому что Xpiro меняет соответствующий адрес страницы обновлений на браузер 127.0.0.1, локальный IP-адрес. Кроме того, это дополнение отключает отображение оповещений, связанных с безопасностью, а также функции, которые защищают пользователей от фишинговых атак.

Xpiro отслеживает всю HTTP-активность браузера и отправляет эту информацию на удаленный сервер. После этого он скачивает с заранее определенных серверов списки URL-адресов цели и URL-адреса перенаправления. Когда пользователь вводит в адресную строку один из «целевых» адресов, дополнение перенаправляет его на один из адресов из второго списка. Это, в свою очередь, может быть как страница с рекламой, так и ссылка для скачивания другого вредоносного ПО.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365