На пользователей "1С:Підприємство 8" нападают вирусы! Наконец-то, и программа 1С:Підприємство 8 удостоена чести и внимания разработчиков вирусов. Или у 1С:Підприємство 8 новый PR-щик? Вообщем, DR.Web и 1С:Підприємство 8 публикуют новости о тесном сотрудничестве: привлечении и обезвреживании вируса шифровальщика-вымогателя. А если серьезно, то...
Содержание:
Пример письма с вирусом:
Тема письма: "У нас сменился БИК банка"
Текст письма:
Здравствуйте! У нас сменился БИК банка. Просим обновить свой классификатор банков. Это можно сделать в автоматическом режиме, если Вы используете 1С:Підприємство 8. Файл - Открыть обработку обновления классификаторов из вложения. Нажать ДА. Классификатор обновится в автоматическом режиме. При включенном интернете за 1-2 минуты.
Вниманию пользователей и партнеров!Просим срочно распространить информацию по всем доступным каналам.
Антивирусная компания "Доктор Веб" сообщила 22 июня 2016 г. о том, что выявлен опасный вирус для 1С:Підприємство – троянец, запускающий шифровальщика-вымогателя.
Далее приводим подробное сообщение компании "Доктор Веб", но сначала просим всех пользователей 1С:Підприємство не открывать электронные письма с темой "У нас сменился БИК банка" и не запускать в программах 1С:Підприємство внешние обработки, полученные по электронной почте. Даже если письмо с внешней обработкой пришло к вам от обслуживающей вас компании или другого хорошо вам знакомого контрагента – сначала свяжитесь с ним, проверьте, что он действительно направлял вам такую обработку, выясните, какие функции она выполняет до того, как ее запустить.
22 июня 2016 года
Троянец 1C.Drop.1, исследованный специалистами компании "Доктор Веб", самостоятельно распространяется по электронной почте среди зарегистрированных в базе контрагентов, заражает компьютеры с установленными бухгалтерскими приложениями 1С:Підприємство и запускает на них опасного троянца-шифровальщика. Вредоносные программы, при создании которых вирусописатели использовали какую-либо новую технологию или редкий язык программирования, появляются нечасто, и это – тот самый случай.
Можно смело сказать, что 1C.Drop.1 — это первый попавший в вирусную лабораторию компании "Доктор Веб" троянец, фактически написанный на русском языке, вернее, на встроенном языке программирования 1С:Підприємство, который использует для записи команд кириллицу. При этом вредоносные файлы для 1С:Підприємство, которые могли модифицировать или заражать другие файлы внешней обработки, известны вирусным аналитикам "Доктор Веб" еще с 2005 года, однако полноценный троянец-дроппер, скрывающий в себе опасного шифровальщика, встретился им впервые.
Троянец распространяется в виде вложения в сообщения электронной почты с темой "У нас сменился БИК банка" и следующим текстом:
К письму прикреплен файл внешней обработки для программы "1С:Підприємство" с именем ПроверкаАктуальностиКлассификатораБанков.epf. Тело этого модуля защищено паролем, поэтому просмотреть его исходный код стандартными средствами невозможно. Если получатель такого письма последует предложенным инструкциям и откроет этот файл в программе "1С:Підприємство", на экране отобразится диалоговое окно:
Какую бы кнопку ни нажал пользователь, 1C.Drop.1 будет запущен на выполнение, и в окне программы "1С:Підприємство" появится форма с изображением забавных котиков:
В это же самое время троянец начинает свою вредоносную деятельность на компьютере. В первую очередь он ищет в базе контрагентов, для которых заполнены поля с адресом электронной почты, и отправляет по этим адресам письмо с собственной копией. Текст сообщения идентичен приведенному выше. Вместо адреса отправителя троянец использует e-mail, указанный в учетной записи пользователя, а если таковой отсутствует, вместо него подставляется адрес 1cport@mail.ru. В качестве вложения троянец прикрепляет к письму файл внешней обработки с именем ОбновитьБИКБанка.epf, содержащий его копию. Пользователи, попытавшиеся открыть такой файл в приложении 1С:Підприємство, также пострадают от запустившегося на их компьютере шифровальщика, однако эта копия 1C.Drop.1 разошлет по адресам контрагентов поврежденный EPF-файл, который программа "1С:Підприємство" уже не сможет открыть. 1C.Drop.1 поддерживает работу с базами следующих конфигураций 1С:Підприємство:
После завершения рассылки 1C.Drop.1 извлекает из своих ресурсов, сохраняет на диск и запускает троянца-шифровальщика Trojan.Encoder.567. Этот опасный энкодер, имеющий несколько модификаций, шифрует хранящиеся на дисках зараженного компьютера файлы и требует выкуп за их расшифровку. К сожалению, в настоящее время специалисты компании "Доктор Веб" не располагают инструментарием для расшифровки файлов, поврежденных этой версией Trojan.Encoder.567, поэтому пользователям следует проявлять особую бдительность и не открывать полученные по электронной почте файлы в приложении "1С:Підприємство", даже если в качестве адреса отправителя значится адрес одного из известных получателю контрагентов.
Добавлен в вирусную базу Dr.Web: 2014-04-25
Описание добавлено: 2014-05-05
Техническая информация
Для обеспечения автозапуска и распространения: Модифицирует следующие ключи реестра:
Создает или изменяет следующие файлы: * %HOMEPATH%\Start Menu\Programs\Startup\87b5d34.exe
Вредоносные функции: Для затруднения выявления своего присутствия в системе блокирует:
Запускает на исполнение:
Внедряет код в следующие системные процессы:
Изменения в файловой системе: Создает следующие файлы:
Сетевая активность:
Подключается к: * 'se###abboy.com':80
UDP:
* DNS ASK se###abboy.com
Другое: Ищет следующие окна:
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для OS X. Данный продукт можно загрузить с официального сайта Apple App Store.
На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
SaaS сервисы
Программы 1С:Підприємство
CRM
ERP
Node.JS, .NET
1С:Підприємство
API, IPasS
Разработка Web Apps
1С:Підприємство Автоматизация
Аудит IT проектов
Интеграция 1С:Підприємство
Получайте наши информационные материалы:
Работаем на IT-рынке с 2008 года.
Наша миссия - упростить управление данными.
Copyright © 2008-2024 TQMsystems. Все права защищены. Privacy Policy | Terms of Service