Uwaga na fałszywą wiadomość mailową rzekomo od FBI ostrzegającą, że weszliśmy na więcej niż 40 nielegalnych stron internetowych i ważne by odpowiedzieć na pytania zawarte w załączniku. Oczywiście powinniśmy odrazu zignorować i skasować taki mail.


Ten mail przypomina rozpowszechniającą się infekcję Sobera z 2005 roku, ale tym razem rozpowszechniany jest fałszywy program antywirusowy znany jako "XP Total Security"

Podejrzany list wygląda tak:
Od: "FBI" - info[losowe 5 cyfr]@fbi.gov
Treść wiadomości:
Sir/Madam,
we have logged your IP-address on more than 40 illegal Websites. Important: Please answer our questions! The list of questions are attached.

W załączniku: document.zip

Po rozpakowaniu pliku "document.zip" okazuje się, że jest w nim plik wykonywalny "document.exe" (trojan z rodziny pobieraczy - pobiera kolejne niebezpieczne pliki) ma on rozmiar: 18432 bajtów i sumie kontrolną MD5: ccb9782b379a3595dc90e0878ae706e6 i jest wykrywany przez oprogramowanie antywirusowe Microsoft'u jako: TrojanDownloader:Win32/Chepvil.K, wiele innych programów antywirusowych miało problemy z detekcją tego zagrożenia wcześniej. Warto zaznaczyć, że pierwsze internetowe skanowanie tego pliki, które miało miejsce 2 maja wykazało, że tylko 14 z 41 programów antywirusowych potrafiło wykryć zagrożenie, wśród nich zagościli producenci między innymi: McAfee, Microsoft, NOD32, TrendMicro oraz inne.

Trojan ten uruchamia się jako usługa po przez proces systemowy svchost, co gwarantuje mu obejście większości zapór ogniowych w tym standardowej Windowsowej, następnie łączy się z hostem o IP: 95.64.9.15 (geolokalizacja: Rumunia) na porcie 80 i pobiera kolejny zaszyfrowany moduł z adresu:

Pobrany moduł ma rozmiar 156KB (160284 bajtów) i zawiera zaszyfrowane dane, które zawierają kolejną porcję niebezpiecznego kodu, a wraz z nim fałszywe oprogramowanie antywirusowe "XP Total Security".

Jak się zabezpieczyć?
- Nie otwierać niezaufanych plików w załącznikach i nie klikać w niezaufane linki
- Instalować aktualizacje systemu i zainstalowanych komponentów (np. Adobe Flash Player i Reader, Java, Quick Time, Windows Media Player itp.) na bieżąco jeśli to możliwe
- Zainstalować odpowiednio dobrą zaporę ogniową i program antywirusowy