'Полицейский' вымогатель Koler

ОПРЕДЕЛЕНИЕ ВИРУСА

Другое название: Trojan.AndroidOS.Koler.a.
Тип вируса: мобильный вымогатель

Что это такое?

Koler является скрытой частью вредоносной кампании, которая в апреле 2014 года явила миру мобильный 'полицейский' вымогатель Koler для Android-устройств. В эту часть входят несколько браузерных программ-вымогателей и набор эксплойтов.

Те, кто стоит за атаками, применяли необычную схему сканирования систем жертв и использовали индивидуальные программы-вымогатели в зависимости от местоположения и типа устройства - мобильного или ПК.

Перенаправляющая инфраструктура - это следующий шаг, после того как жертва посетит любой из как минимум 48 вредоносных порносайтов, используемых операторами Koler.

Неслучайно, что для распространения этого «полицейского» вымогателя используется сеть порносайтов: пользователи, посещающие подобные страницы, с большей вероятностью будут испытывать чувство вины за это и заплатят «штраф», якобы выставленный компетентными органами.

С 23 июля, 2014 мобильный компонент кампании был уничтожен, поскольку командный сервер начал рассылать мобильным жертвам команду «Удалить», эффективно удаляя вредоносное приложение.

Однако остальные вредоносные компоненты для пользователей ПК, включая набор эксплойтов, все еще активны.

Подробнее о вирусе

48 порносайтов перенаправляют пользователей в центральный хаб, который использует систему распределения трафика Keitaro TDS для дальнейшего перенаправления пользователей.

В зависимости от ряда условий, это второе перенаправление может привести к развитию трех различных вредоносных сценариев:

Установка мобильного вымогателя Koler. При посещении веб-сайт автоматически перенаправляет пользователя на вредоносное приложение.

Кроме того, от пользователя требуется подтвердить загрузку и установку на устройстве приложения, которое называется animalporn.apk и на самом деле является вымогателем Koler. Оно блокирует экран зараженного устройства и требует выкуп от 100 до 300 долларов за разблокирование. Вредоносная программа выводит на экран устройства локализованное сообщение от «полиции».
Перенаправление на веб-сайт любого браузерного вымогателя. Специальный контроллер распознаёт следующие три условия: (1) пользовательский агент принадлежит любой из 30 пострадавших стран, (2) пользовательский агент не принадлежит Android-устройству, и (3) запрос не содержит пользовательского агента Internet Explorer.

Если на все три вопроса получен ответ «ДА», то пользователю демонстрируется экран блокировки, идентичный тому, что показывается при заражении мобильных устройств. В этом случае заражения не происходит, лишь демонстрируется всплывающее окно с шаблоном блокирующей страницы. Избежать блокировки пользователь может легко с помощью простой комбинации alt + F4.
Перенаправление на веб-сайт, содержащий набор эксплойтов. Пользователи, использующие Internet Explorer, перенаправлялись на сайты, на которых размещался набор эксплойтов Angler, содержащий эксплойты для Silverlight, Adobe Flash и Java.

На момент исследования специалистами «Лаборатории Касперского» использовался не весь функционал, и эксплойты не выполняли каких-либо вредоносных действий, но это может измениться в ближайшем будущем.

Статьи и ссылки по теме:

Продукты:

'Полицейский' вымогатель Koler

Kaspersky

В этом разделе разговор пойдет о наиболее распространенных и потенциально опасных угрозах и вирусах, а также об определении вирусов, о том, как узнать, заражено ли ваше устройство и что делать в этой ситуации.