02.04.2013  Новости, Безопасность

Корпорация Symantec обнародовала подробности работы сложной активной угрозы Tidserv (или TDL), которая маскирует себя в системе с помощью руткит-технологий, и по этой причине обнаружить ее крайне сложно. Будучи обнаруженной еще в 2008 г., она остается активной до сих пор. Распространяемый сейчас в Интернете вариант Tidserv использует в своей работе программную платформу Chromium Embedded Framework (CEF). И хотя это не первый случай, когда злоумышленники используют легитимное ПО в своих целях, в данном случае для корректной работы вируса требуется загрузка всех компонентов среды общим размером в 50 Мбайт, что довольно необычно для вредоносных программ. Backdoor.Tidserv имеет компонентную структуру, что позволяет ему подгружать новые модули и сразу же встраивать их в процессы ОС. В более ранней версии Tidserv модуль serf332 использовался для сетевых операций, таких как автоклики и рекламные всплывающие окна. Для их реализации используются COM-объекты открытия страниц и анализа их содержимого. Недавно эксперты Symantec обнаружили, что Tidserv начал скачивать для использования новый модуль с названием cef32. Этот модуль имеет тот же функционал, что и serf332, однако требует наличия библиотеки cef.dll, являющейся частью CEF. Как правило, это означает, что на зараженную систему требуется загрузить все компоненты CEF объемом около 50 Мбайт. За период с 4 по 21 марта число скачиваний CEF резко выросло. Специалисты не могут однозначно отнести этот рост на счет активности Tidserv ... читать далее.