«Лаборатория Касперского» зафиксировала неординарную атаку, в ходе которой злоумышленники использовали вредоносную программу, способную функционировать без создания файлов в заражённой системе.

Сообщается, что для распространения вредоносного кода использовалась тизерная сеть, организованная при помощи технологий AdFox. Заражению подвергались посетители сайтов некоторых российских онлайновых СМИ: при загрузке одного из новостных тизеров браузер скрытно перенаправлялся на вредоносный сайт с Java-эксплойтом.

Вредоносная программа посылала на сервер злоумышленников запросы и информацию об истории посещения сайтов из веб-обозревателя на инфицированном ПК. Если в переданных данных были сведения об использовании системы дистанционного банковского обслуживания, на инфицированный компьютер устанавливался троян Lurk, предназначенный для хищения конфиденциальной информации для доступа к системам онлайн-банкинга ряда крупных российских банков.

Примечательно, что обнаруженный вредонос не загружал никаких файлов на жёсткий диск, а функционировал исключительно в оперативной памяти компьютера. Такой подход существенно затрудняет обнаружение вредоносного кода антивирусами. Несмотря на то что «бестелесные» программы способны работать только до перезагрузки операционной системы, вероятность того, что пользователь вновь попадёт на заражённый новостной сайт, весьма высока, отмечает «Лаборатория Касперского».

Кстати, сама сеть AdFox не являлась источником заражения. Изменения в код баннеров были внесены злоумышленниками с аккаунта одного из клиентов AdFox путём добавления к ним ссылки на вредоносный сайт.

Подготовлено по материалам «Лаборатории Касперского».