Поддельный сайт VirusTotal распространяет вредоносный код

VirusTotal является популярным сервисом, который предоставляет возможность пользователям просканировать загруженные ими файлы большим количеством антивирусных движков. Сайтом VirusTotal ежедневно пользуются сотни тысяч профессионалов и обычных пользователей.

Фальшивый сайт VirusTotal, обнаруженный исследователями из Лаборатории Касперского, выглядит точно так же, как и настоящий. При этом фальшивый сайт просит пользователей запустить некий Java-апплет. Поскольку апплет не подписан действительным цифровым сертификатом, пользователям предлагается подтвердить его исполнение. Но некоторых пользователей не останавливает даже это.

В действительности апплет представляет из себя загрузчик троянской программы, определённой Лабораторией Касперского как Worm.MSIL.Arcdoor.ov. "Этот червь создан для набора зомби, которые должны стать частью ботнета, предназначенного в основном для DDoS-атак с помощью SYN-флуда, HTTP-флуда, UDP-флуда и ICMP-флуда", - пояснил сотрудник Лаборатории Касперского Jorge Mieres. Этот ботнет контролируется коммерческим DDoS-фреймворком, известным как N0ise. Он принимает команды для инициирования нескольких типов DDoS-атак, сообщения имени хоста жертвы, сообщения версии операционной системы, а также версии самого вредоносного кода.

Это не первый случай использования бренда VirusTotal для распространения вредоносного ПО. В феврале 2010 года в сети был обнаружен фальшивый сайт VirusTotal, распространявший мошенническое ПО (scareware). Загрузчики, написанные на Java, также не являются редкостью. Согласно январскому докладу Лаборатории Касперского, наибольшее количество угроз в декабре прошлого года пришлось на Java-апплеты, загружающие троянские программы.