«Лаборатория Касперского» выявила вирус, способный похищать деньги через «1С»

«Лаборатория Касперского» обна­ру­жи­ла тро­ян­ца Mezzo, кото­рый спо­со­бен похи­щать денеж­ные сред­ства у ком­па­ний через под­ме­ну рек­ви­зи­тов во вре­мя обме­на фай­лов меж­ду бух­гал­тер­ским про­грамм­ным обес­пе­че­ни­ем «1С» и бан­ков­ски­ми системами. 

Программа на дан­ный момент толь­ко соби­ра­ет необ­хо­ди­мую инфор­ма­цию, что может под­ра­зу­ме­вать под­го­тов­ку к кам­па­нии по хище­нию денеж­ных средств, счи­та­ют спе­ци­а­ли­сты «Лаборатории Касперского».

Главное отли­чие ново­го тро­я­на от дру­гих заклю­ча­ет­ся в упро­щен­ном алго­рит­ме поис­ка и про­вер­ки инте­ре­су­ю­щих его фай­лов. Кроме того, спе­ци­а­ли­сты пред­по­ла­га­ют, что тро­я­на может рас­про­стра­нить­ся за пре­де­лы бух­гал­тер­ских систем.

Распространение тро­я­на про­ис­хо­дит с помо­щью сто­рон­них программ-​загрузчиков. После попа­да­ния на устрой­ство Mezzo созда­ет уни­каль­ный иден­ти­фи­ка­ци­он­ный код для зара­жен­но­го ком­пью­те­ра, после чего на сер­ве­ре зло­умыш­лен­ни­ков созда­ет­ся пап­ка для хра­не­ния всех най­ден­ных у жерт­вы файлов.

Предполагается, что Mezzo исполь­зу­ет тек­сто­вые фай­лы бух­гал­тер­ско­го про­грамм­но­го обес­пе­че­ния, кото­рые были созда­ны менее двух минут назад. Обнаружив такие доку­мен­ты, тро­ян ожи­да­ет откры­тия диа­ло­го­во­го окна для обме­на инфор­ма­ци­ей меж­ду «1С» и бан­ком, после чего зло­вред может похи­тить денеж­ные сред­ства с помо­щью под­ме­ны рек­ви­зи­тов, пола­га­ют специалисты.

В «Лаборатории Касперского» пред­по­ла­га­ют, что Mezzo может быть тес­но свя­зан с тро­я­ном CryptoShuffler, кото­рый похи­ща­ет крип­то­ва­лю­ту. Согласно иссле­до­ва­нию, код тро­я­на и про­грам­мы, кото­рая осу­ществ­ля­ет загруз­ку CryptoShuffler, прак­ти­че­ски идентичен.