Razy, два, три — Биткойн, гори!

Как троян Razy устанавливает вредоносные расширения
Ответственность за это может взять на себя троян Razy, который дооснащает собственными плагинами Google Chrome, Mozilla Firefox и «Яндекс.Браузер» (все для Windows). Если отбросить технические подробности (за ними можно зайти на securelist.ru ), зловред отключает проверку устанавливаемых расширений, на всякий случай запрещает браузеру обновляться, а затем приступает к установке вредоносных аддонов: Firefox получает расширение Firefox Protection, а «Яндекс.Браузер» — Yandex Protect.
Если названия и способны ввести в заблуждения, то их внезапное появление может насторожить. И в этом плане сценарий для Google Chrome наиболее опасен: Razy может заражать системное расширение Chrome Media Router, которое не отображается в общем списке модулей браузера, и выявить его без защитного ПО можно лишь по косвенным признакам.
Что происходит после заражения
Все происходящее — классический пример атаки « человек в браузере »: вредоносные расширения начинают менять содержимое сайтов так, как этого желает их создатель. В случае с трояном Razy больше всего неприятностей ждет владельцев криптокошельков: расширение добавляет на страницы криптовалютных бирж баннеры с «выгодными» предложениями о покупке или продаже «крипты», купившись на которые, пользователь лишь пополнит карман мошенников.

Помимо этого, дополнение отслеживает, что пользователь ищет в Google или «Яндекс», и если поисковый запрос связан с криптовалютами, на страницу результатов поиска внедряются ссылки на фишинговые сайты.

Результат работы Razy: первые пять ссылок в поисковой выдаче добавлены вредоносным расширением и ведут на фишинговые ресурсы
Еще один способ «перераспределения» монет заключается в замене всех адресов (или QR-кодов) кошельков, которые присутствуют в открытой странице, на адреса кошельков злоумышленников.
Также пользователя зараженного браузера будут преследовать баннеры (например, во «Вконтакте») с разнообразными «щедрыми» предложениями вида «вложи чуть-чуть сейчас, заработай миллион потом», «заработай, пройдя опрос» и так далее. Вишенка на торте — отображение на страницах «Википедии» поддельного баннера с просьбой поддержать проект.

Как защититься от трояна Razy
Поскольку Razy распространяется под видом полезного софта с помощью партнерских программ и скачивается с различных бесплатных файловых хостингов, рекомендации по защите от этой заразы довольно стандартны:
— Скачивайте приложения только с сайтов разработчиков и каталогов, которым доверяете.
— Любая подозрительная активность на компьютере (например, появление незнакомых программ-оптимизаторов) может означать, что вы «приняли участие» в «партнерке», и служит поводом для немедленной проверки компьютера.
— Не оставляйте без внимания внезапно появившиеся плагины для браузера.
— Используйте надежный антивирус.
Источник
Batafsil | Подробно | Read more... InfoCOM