Doctor Web：2018年10月病毒活动综述

2018.10.31

10月份Doctor Web公司公布了一起网络诈骗的调查结果。这次诈骗事件的受害者超过1万人，全部损失至少有24000美金。

不法分子在10月份群发邮件，以泄露用户个人信息相要挟索要钱财。显然，不法分子已掌握了多个保存用户注册信息（包括电子邮箱地址和密码）的数据库，并利用地址库群发消息，称已获取受害者使用的密码，并在其计算机安装了恶意程序，借此勒索价值500至850美元的比特币，并威胁如不支付就会曝光收件人的个人信息。

诈骗分子利用了多个比特币钱包，根据网站blockchain.com的信息可以判断出，有些收件人已经落入了诈骗分子的圈套。

近一段时间，网络犯罪分子纷纷使用这种勒索方式：群发带有各种威胁的电子邮件，但只有少量邮件同时包含邮箱密码。实际上，获取这些信息勒索者并没有使用病毒和木马，用户只需更换密码即可免受攻击。

本月威胁

Doctor Web公司技术人员进行了大规模调查，并在10月份向读者公布了调查结果。病毒分析人员关注的目标是化名为Investimer、Hyipblock和Mmpower的网络犯罪分子的活动。网络犯罪分子为达目的使用了多种恶意软件，包括各种盗窃木马、下载器、后门木马和采矿木马（其内嵌模块可偷换剪贴板内容）。

Investimer专门从事电子加密货币诈骗，方法种类繁多，包括创建货币交易假网站、挖矿农场假网站、在线抽彩联盟程序假网站。

网络犯罪分子的诈骗手法的基本步骤是：利用各种方法将潜在受害者诱骗到诈骗网站，并通知潜在受害者打开这些网站还需要下载某个客户端程序。实际上所谓的客户端是一个木马，可根据不法分子的指令在计算机上安装其他恶意程序。这些程序（主要是盗窃木马）从被感染设备窃取机密信息，诈骗分子利用这些信息从受害者账户窃取保存在不同支付系统中的电子加密货币和金钱。

Doctor Web公司分析人员推测，受Investimer非法活动影响的用户总数超过一万人，损失超过23000美元。此外有182,000多个Dogecoin电子加密货币，按照当前汇率约为900美元。关于此调查的更多信息请参阅我公司网站发布的 文章.

Doctor Web统计服务器收集的数据结果

JS.BtcMine

用于暗中获取（采集）加密电子货币的JavaScript脚本家族。

Trojan.SpyBot.699

一种用于拦截被感染设备键盘输入、执行接收指令并窃取机密信息的间谍木马。

Trojan.Starter.7394

主要功用是在被感染的系统中启动带有特定恶意功能的可执行文件的一个木马家族代表。

Trojan.Encoder.11432

一种又名WannaCry的加密蠕虫。

邮箱流量恶意程序统计

JS.BtcMine

用于暗中获取（采集）加密电子货币的JavaScript脚本家族。

W97M.DownLoader

利用办公应用漏洞的木马下载器家族。旨在将其他恶意程序下载到被攻击计算机。

Trojan.Encoder.26375

一种加密计算机文件并要求受害者支付解密的勒索木马家族代表。

Trojan.PWS.Stealer

一种用于窃取被感染计算机密码等机密信息的木马家族。

Trojan.SpyBot.699

一种间谍木马，旨在拦截被感染设备上的键盘输入、执行收到的指令并窃取机密信息。

加密器

10月份Doctor Web公司技术支持部门接收到的解密申请大部分来自以下木马加密器变种受害者：

• Trojan.Encoder.858 — 申请的 20.04%;
• Trojan.Encoder.11464 — 申请的 11.67%;
• Trojan.Encoder.567 — 申请的 6.23%;
• Trojan.Encoder. 25574 — 申请的 5.84%;
• Trojan.Encoder.1539 — 申请的 4.86%;
• Trojan.Encoder.5342 — 申请的 1.75%.

危险网站

2018年10份Dr.Web不推荐网站和恶意网站数据库新添156 188个互联网地址。

移动恶意软件和不良软件

10月初，Dr.Web病毒库添加了安卓银行木马Android.BankBot.1781。该木马能够下载、运行辅助模块、编译并执行不法分子发出的C＃语言代码。本月Doctor Web公司技术人员在官方安卓应用目录中又发现了多个木马，其中包括加载并显示诈骗网站的恶意程序Android.FakeApp.125和Android.Click.245.origin。

月底，我公司技术人员还在Google Play侦测到木马下载器Android.DownLoader.818.origin和Android.DownLoader.819.origin。这些木马下载其他安卓木马并试图将其安装到移动设备。病毒分析人员还对伪装成一般软件加以传播的恶意应用Android.RemoteCode.192.origin和Android.RemoteCode.193.origin进行了研究。此类木马能够显示广告、下载辅助模块并在YouTube门户网站上打开不法分子指定的视频，以此“增加”观看量，提高视频热度。

10月份最值得注意的移动安全事件有:

• 在Google Play侦测到恶意应用；
• 一种能够实时编译并执行恶意代码的危险银行木马正在传播。

10月份移动病毒情况更多详情请参阅 移动威胁综述.