Коллектив Авторов - Цифровой журнал «Компьютерра» № 204

Довольно быстро из области состязания в изящности кода написание троянов перешло в сферу криминальных доходов. Новые разновидности троянов накручивали посещаемость, имитируя клики по баннерам, выполняли звонки на платные номера, использовались для создания ботнет-сетей и применялись множеством других способов.

Из-за низкой квалификации основной массы пользователей и пренебрежения ими элементарных норм безопасности требования к качеству кода троянов стали резко падать. Их структура становилась всё более примитивной, пока не достигла апофеоза — использования скриптов автоматизации, оставляющих в теле трояна информацию о своих создателях.

Так произошло и в данном случае с попыткой незадачливого автора скрыто установить трояна на компьютеры тысяч пользователей через программу монетизации файлового трафика Installmonster.ru.

Для сборки трояна из готовых модулей он использовал язык автоматизации выполнения задач AutoIt, не требующий практически никаких знаний в области программирования. В коде остались строки, свидетельствующие о разработке основных компонентов трояна другим человеком:

«c:\Users\Кошевой Дмитрий\Documents\Visual Studio 2012\...»

Сам заказчик не удалил свой псевдоним, оставив при сборке дроппера характерную строку:

«C:\Users\Antonio\Desktop\»

В файле конфигурации содержится также его логин «tonycraft». По этим данным через сеть «ВКонтакте» легко находится пользователь Tonycoin, зазывающий всех на протрояненный сайт bitchat.org.

Главная цель, преследуемая авторами современных троянов, — заставить кого-то другого зарабатывать им деньги. Очень желательно, чтобы процесс происходил незаметно и длительно. С появлением в 2009 году криптовалюты BitCoin интерес к ней возник и в криминальной сфере.

Новые трояны, ориентированные на этот источник дохода, построены по общей модульной схеме. Они содержат оригинальную программу — биткойн-майнер — или её модифицированный вариант, а также средства их скрытого автозапуска. Маскировка у большинства из них предельно примитивная: авторы ограничиваются простым переименованием имён файлов и использованием утилит вроде Hidden Start (hstart.exe) для сокрытия окна консоли.

Все компоненты, кроме командных файлов на создание скрытого автозапуска, вполне легальные. Антивирусным программам сложно определить такой троян на уровне эвристики, поэтому обычно они детектируются по прямому сигнатурному совпадению с записями в вирусных базах.

Средства самостоятельного размножения у большинства троянов отсутствуют (что отличает их от класса собственно компьютерных вирусов), а для их распространения авторы прибегают к методам социальной инженерии. Активно эксплуатируется жажда халявы, сексуальное влечение и другие вечные стимулы, заставляющие людей делать глупости.

Трояны класса биткойн-майнеров маскируются под бесплатные программы, ускорители работы компьютера и сетевого подключения. Они заражают систему при кликах на порно-баннерах и скачиваются «в нагрузку» к известным легитимным программам, включая такие популярные компоненты, как флеш-плеер или Java RE.

В описываемом случае Trojan.BtcMine.218 распространялся под видом утилиты Small Weather, демонстрирующей метеопрогноз в тулбаре.

Версии семейства Trojan.BtcMine попадались мне в диком виде с осени 2010 года. В согласии с известной пословицей «Беда не приходит одна», за ресурсы одной системы нередко соперничают разные трояны. Несколько активных троянских биткойн-майнеров превращает последнюю модель компьютера с Core-i7 в едва шевелящегося динозавра. Загрузка процессора постоянно держится на уровне ста процентов, свободной оперативной памяти ноль, а кулер воет громче пылесоса. Системные блоки и ноутбуки с такими характерными признаками заражения приносят практически постоянно. Как же они обеспечивают прибыль своим авторам?