Опасный банковский вирус Bolik

В начале лета текущего года вирусные аналитики компании «Доктор Веб» окончили исследовательскую работу по изучению опасного вируса.

Опасность вируса

Этот вирус способен красть финансовые средства со счетов клиентов банков России, похищать секретную информацию разными способами, вести шпионаж за своими жертвами. Вирус перенял некоторые технические особенности известных банковских троянских программ Carberp и Zeus.

Однако новый «вредитель» в отличие от них может распространяться, без каких-либо действий пользователя, и самостоятельно повреждать файлы. Это и есть определяющий фактор его опасности. Кроме всего прочего его очень сложно вывести с зараженной операционной системы. На лечение придется потратить несколько часов.

Данный вредоносный продукт получил наименование Bolik.1. Программа опасна тем, что распространяется сама по себе без участия пользователя. Такие программы относят к файловым полиморфным вирусам.

Умение инфицировать и самостоятельно распространяться считается самым опасным свойством банкера. Данные функции активизируются по команде злоумышленников, после этого Bolik.1 опрашивает доступные папки для записи в сетевом пространстве и на подключенных носителях. Он ищет исполняемые файлы, хранящиеся на данных ресурсах, и заражает их. Следует сказать, что вирус может заразить приложения любого разряда.

Как работает троянец?

Зараженные программы данным вирусом детектируются антивирусной программой Dr.Web. в каждой программе Win32.Bolik.1 имеется в закодированном виде сам банковский троянец. Также здесь хранится требуемая для вируса информация. Когда пользователь запускает на своем ПК зараженное приложение, вирус будет расшифровывать банковского троянца и запускать его непосредственно в памяти компьютера, не сохраняясь на диск. При этом данный вредитель имеет встроенный специальный механизм, который дает возможность на ходу менять код и структуру части, которая отвечает за шифрование Bolik.1.

Авторы вирусов таким способом пытаются усложнить обнаружение своего нового продукта антивирусными приложениями. Более того, Bolik старается вступать в противодействие с антивирусами, умеющими пошагово отслеживать вредоносные программы в соответствующих эмуляторах. В архитектуре данного вируса есть специальные «замедлители», которые состоят из большого числа повторяющихся функций и циклов.

Вирус имеет виртуальную систему файлов, которая сама находится в отдельном файле. Данный файл троянец помещает в одну из директорий системы или в папку пользователя. Виртуальная система файлов дает возможность вредоносной программе скрыто хранить нужную ей информацию на зараженном ПК. Также вирус имеет механизм встраивания в посещаемые пользователем сайты постороннего содержимого. Так реализуется технология веб-инжектов. За счет этой программы мошенники похищают логины и пароли у своих жертв.