Новый троян распространяют с валидной цифровой подписью Mail.ru (+)

По
сообщению
хабраюзера tavel, идеологам "заработка без SMS-подписок, платных архивов и прочих "серых" схем" удалось наладить распространение браузера и тулбара Mail.ru с действительной цифровой подписью холдинга и с произвольным довеском. В описываемом случае это был новейший троян. Свежий, ещё не детектирующийся Антивирусом Касперского и встроенной защитой Windows.

Именно на свежесть напирала и народная реклама "партнёрской программы". Позволяющей организовать под цифровой подписью Mail.ru распространение любого контента. В описываемом случае трудящихся пугали традиционным: "ваш браузер устарел", "ваш Skype сегодня перестанет работать" и т.д.. А затем могла произойти установка вредоносного софта. Практически незаметно для пользователя:

Для работы с партнерской программой необходимо поменять ссылки на любой скачиваемый контент (mp3, документ, видео - абсолютно любой файл), расположенный у вас на сайте. Ссылки меняются таким образом, что вместо вашего домена указывают на специальный загрузчик, расположенный на домене profidownload.ru. В этой ссылке специальным образом прописывается исходная ссылка (которая до этого была на сайте). По клику пользователя сначала загружается и запускается загрузчик, который и скачивает на компьютер пользователя исходный файл. Одновременно с загрузкой устанавливается тулбар и браузер. Для пользователя это происходит практически незаметно.

Автор топика предполагает, что для подписания трояна используется настоящая цифровая подпись Mail.ru, приватный ключ от которой получил один из "распространителей" браузера и тулбара компании.

 Источник:Roem.ru