Исследования ESET. Хакеры улучшили банковский троян Mekotio.
Эксперты ESET выявили новые возможности трояна Mekotio. Ранее удалось узнать, что вредонос похищает у пользователей криптовалюту. На данный момент известно, что Mekotio имеет типичные функции бэкдора: создание скриншотов, перезагрузка зараженных устройств, ограничение доступа к легитимным банковским сайтам, а также кража учетных данных из Google Chrome и биткоинов. Троян использует C&C-сервер и базы данных SQL.
Mekotio может получить доступ к системным настройкам пользователя, к сведениям об ОС Windows, конфигурации брандмауэра и списку установленных антивирусных решений. При помощи одной из команд Mekotio даже пытается уничтожить все файлы на устройстве путем их удаления из дерева C:\Windows.
Вредонос маскируется под обновление, якобы необходимое для обеспечения безопасности устройства. Чаще всего Mekotio прячется в спаме. Цепочка распространения включает несколько этапов и завершается загрузкой зараженного ZIP-архива.
Пример цепочки распространения Mekotio
Mekotio - латиноамериканский банковский троян, нацеленный в основном на Бразилию, Чили, Мексику, Испанию, Перу и Португалию. Самая примечательная особенность новейших вариантов этого семейства вредоносных программ - использование базы данных SQL в качестве C&C сервера.
Как и многие другие латиноамериканские банковские трояны, которые мы описывали ранее в этой серии, Mekotio пошла по довольно хаотичному пути развития с очень частыми изменениями его функций. Основываясь на его внутреннем управлении версиями, мы полагаем, что одновременно разрабатывается несколько вариантов. Однако, как и в случае с Casbaneiro , эти варианты практически невозможно отделить друг от друга, поэтому мы будем называть их все Mekotio. Характеристики
Mekotio - типичный латиноамериканский банковский троян, активный по крайней мере с 2015 года. Таким образом, он атакует, отображая поддельные всплывающие окна своим жертвам, пытаясь побудить их раскрыть конфиденциальную информацию. Эти окна тщательно разработаны для латиноамериканских банков и других финансовых учреждений. Mekotio собирает следующую информацию о своих жертвах:
- Конфигурация межсетевого экрана
- Есть ли у жертвы административные привилегии
- Версия установленной операционной системы Windows
- Установлены ли продукты защиты от мошенничества (GAS Tecnologia Warsaw и IBM Trusteer [1] )
- Список установленных антивредоносных программ
Mekotio обеспечивает постоянство либо с помощью клавиши «Выполнить», либо путем создания файла LNK в папке автозагрузки.
Как и большинство банковских троянов в Латинской Америке, Mekotio имеет несколько типичных возможностей бэкдора. Он может делать снимки экрана, управлять окнами, имитировать действия мыши и клавиатуры, перезагружать компьютер, ограничивать доступ к различным банковским веб-сайтам и обновляться. Некоторые варианты также могут украсть биткойны, заменив биткойн-кошелек в буфере обмена и извлекая учетные данные, хранящиеся в браузере Google Chrome. Интересно, что одна команда явно предназначена для того, чтобы вывести из строя машину жертвы, пытаясь удалить все файлы и папки в дереве C: \ Windows .
Один из способов идентифицировать Mekotio - это конкретное окно сообщения, которое троянец отображает несколько раз (см. Рисунок 2).
Рисунок 2. Окно сообщения, используемое всеми вариантами Mekotio (перевод: «В настоящее время мы выполняем обновления безопасности на сайте! Пожалуйста, попробуйте позже! Принимаются новые меры безопасности: (1) новый плагин безопасности и (2) новый внешний вид сайта. Ваша система будет перезапущена для завершения операции. »)
Чтобы упростить кражу паролей с помощью функции кейлоггера, Mekotio отключает опцию «Автозаполнение» в Internet Explorer. Эта функция, если она включена, экономит время пользователей Internet Explorer, запоминая данные, введенные в поля различных типов, которые были заполнены ранее. Mekotio отключает его, изменяя следующие значения реестра Windows:
HKCU \ Software \ Microsoft \ windows \ CurrentVersion \ Explorer \ AutoComplete \
AutoSuggest = «Нет»
HKCU \ Программное обеспечение \ Microsoft \ Internet Explorer \ Главная \
Используйте FormSuggest = «Нет»
FormSuggest Passwords = «Нет»
FormSuggest PW Ask = «Нет»
Хакеры постоянно совершенствуют Mekotio и внедряют новые методы уклонения от обнаружения. Троян может стать причиной серьезных финансовых потерь. Специалисты ESET рекомендуют соблюдать базовые правила цифровой гигиены и использовать комплексные антивирусные решения для защиты от киберугроз.
Спецпроект «Агент будущего» «Российской газеты» представил мнение Антона Хаймовского, руководителя разработки и владельца продукта ContentCapture, о современных тенденциях перехода юридической сферы от традиционного ручного анализа к интеллектуальной автоматизации. Специалист подробно осветил перспективы, преимущества и существующие ограничения новых технологий применительно к таким направлениям, как оценка правовых рисков, комплексная проверка контрагентов (due diligence), мониторинг соблюдения нормативных требований (комплаенс) и создание юридических документов с использованием автоматизированных решений.
Согласно статистике детектирований антивируса Dr.Web, в IV квартале 2025 года общее число обнаруженных угроз увеличилось на 16,05% по сравнению с III кварталом. Число уникальных угроз при этом снизилось на 1,13%. Наибольшее распространение получили нежелательные рекламные приложения, вредоносные скрипты и различные вредоносные программы, в том числе загрузчики и рекламные трояны.
Большинство российских предприятий обеспокоено возможностью раскрытия секретных сведений вследствие внедрения искусственного интеллекта. Глава технологического подразделения Content AI Сергей Юдин поделился своим мнением с изданием «Российская газета», раскрыв причины, по которым публичные нейросети представляют собой потенциальный источник серьёзных утечек информации, и предложил рекомендации по осторожному внедрению ИИ-технологий внутри корпораций
Отечественные компании «Базальт СПО», создающая системное программное обеспечение, и VINTEO, разрабатывающая профессиональные инструменты видеоконференций, объявили о подтвержденной совместимости операционных систем «Альт» с клиентским приложением VINTEO Desktop.
Специалисты обеих организаций провели ряд тестирований, по итогам которых была удостоверена полная совместимость и бесперебойная работа приложения VINTEO Desktop на операционных системах «Альт Рабочая станция» версий 10 и 11. Подтверждение результатов зафиксировано соответствующими двусторонними сертификатами.
Фирма «ИнтерТраст», создатель корпоративной системы электронного документооборота CompanyMedia, совместно с российским производителем операционных систем «Базальт СПО» завершила тестирование и подтвердила полное соответствие и стабильность функционирования СЭД CompanyMedia на операционных системах линейки «Альт». Полученный сертификат №0312/25 от 16 октября 2025 года подтверждает успешность проведенных испытаний специалистами «ИнтерТраст». Итоги проверок зафиксированы в специальном двустороннем протоколе
При исследовании определенной партнерской сети эксперты компании «Доктор Веб» выявили оригинальное вредоносное программное обеспечение типа кликер, обозначенное как Trojan.ChimeraWire. Это приложение функционирует на устройствах с установленной операционной системой Windows и создано на базе открытых проектов zlsgo и Rod, предназначенных для автоматизации взаимодействия с веб-ресурсами и приложениями.
Программное обеспечение позволяет автоматически распознавать текст в сканированных документах, значительно сокращая сроки их подготовки и размещения в ведущем региональном цифровом архиве
С 3 по 5 октября 2025 года в городе Переславль-Залесский прошла XXI конференция разработчиков свободного программного обеспечения. Мероприятие посетило свыше 2 тысяч участников, присутствовавших лично и подключившихся удаленно. Организацию события взяли на себя компания «Базальт СПО» и Институт программных систем имени А.К. Айламазяна Российской академии наук (ИПС РАН)
В июле 2025 года в компанию «Доктор Веб» обратился клиент из государственного сектора Российской Федерации с подозрением о возможной компрометации внутренней сети. Гипотеза возникла в связи с тем, что клиент зафиксировал рассылку нежелательных сообщений с одного из корпоративных почтовых ящиков. Проведенное нашей антивирусной лабораторией расследование инцидента показало, что учреждение подверглось целевой атаке со стороны хакерской группировки, которую специалисты «Доктор Веб» идентифицировали как Cavalry Werewolf. Одной из целей кампании был сбор конфиденциальной информации и данных о конфигурации сети
Ваши контактные данные не публикуются на сайте.