Новый троян с валидной цифровой подписью LLC Mail.Ru маскируется под обновления популярных программ
Тихим субботним вечером моя мама мирно серфила Youtube на предмет ухода за цикламенами и внезапно слева от видео образовался баннер (к сожалению, скриншота не будет, т.к. баннер воспроизвести не удалось), призывающий обновить Skype. После клика на него произошел редирект на _http://easyupdate.ru/skype/, выглядящий примерно так…
Моя мама — не очень опытный пользователь и фразы в духе «Ваша версия Skype устарела, его поддержка закончится 04.03.2013, после чего Вы больше не сможете общаться по Skype» её очень пугают, поэтому она нажала «Отмена» и позвонила мне. Поначалу я решил, что речь пойдёт о банальном обновлении Skype и со вздохом подключился по Teamviewer, собираясь просто ткнуть пару кнопок и отключиться. К своему стыду, при всём своём многолетнем опыте я даже умудрился запустить скачавшийся с easyupdate.ru «апдейт», однако, увидев после запуска, что файл подписан почему-то издателем «LLC Mail.Ru», а не Skype, в последний момент запретил выполнение и понял, что вечер будет интересным и длинным. Похвалив маму за бдительность, я приступил к изучению свежей схемы наполнения ботнета.
Загадка цифровой подписи
Итак, первым делом посмотрим свойства файла: 
Странно, всего 74 Кб, как-то маловато даже для web-инсталлера. Смотрим цифровую подпись, что это за «LLC Mail.Ru» такое, может кто-то опять протащил через Thawte схожее название юрлица?
Странно, сертификат цифровой подписи очень похож на настоящий от Mail.Ru:
У них одинаковый срок действия, с 09.12.2011 по 07.02.2014, однако в цифровой подписи Агента Mail.ru есть подписи других сторон: Symantec Time Stamping Services Signer. Все exe файлы подписываются на лету перед отдачей на загрузку браузеру, об этом говорит динамически изменяющееся время подписания файла.
Итого, имеем три варианта:
1. Это настоящая цифровая подпись Mail.ru, приватный ключ от которой каким-либо образом выкрали и теперь используют для подписания малвари
2. Это настоящая цифровая подпись Mail.ru, которую сама Mail.ru почему-либо использует для подписания малвари
3. Это поддельная цифровая подпись Mail.ru, которую каким-либо образом сумели скомпрометировать (что маловероятно, ибо RSA 2048 бит)
Загуглив easyupdate.ru, и не найдя в выдаче ничего путного, я посмотрел все ссылки по запросу site:easyupdate.ru и обнаружил, что, помимо скайпа, лендинги имеются для всех популярных браузеров: 
Их очень роднит милое всплывающее javascript подтверждение, которое начинает скачивать exe файл, даже не удосужившись проверить, какую кнопку нажал пользователь, OK или Отмена.
Virustotal
Таким образом, мы получили 5 образцов (ссылки ведут на результаты сканирования файлов Virustotal):
chromesetup.exe, firefox-setup.exe, ie-setup-full.exe, opera_int_setup.exe и skypesetup.exe
opera_int_setup.exe и ie-setup-full.exe ещё не были просканированы до меня, то есть распространение заразы было начато совсем недавно, однако на остальные файлы среагировали 8-9 антивирусов из 46. Касперский почему-то единственный, кто классифицировал exe, как «не вирус»: «not-a-virus:HEUR:Downloader.Win32.LMN.a». Возможно на это решение положительно повлияла цифровая подпись, однако это лучше, чем решение встроенного в Windows антивируса от Microsoft, который в образцах не увидел вообще никакой угрозы.
Для chromesetup.exe доступны сведения о поведении, видимо предоставленные какой-то из антивирусных компаний, в частности сетевая активность: 
Итак, у нас есть два странных домена и ссылка на поддомен Mail.ru, посмотрим на них внимательнее:
easyupdate.ru зарегистрирован 30 января 2013 года со скрытием информации о владельце (Private person), эта услуга доступна и бесплатна у большинства российских регистраторов доменов. В корне сайта нас встречает 404:
The resource requested could not be found on this server!
Powered By LiteSpeed Web Server
LiteSpeed Technologies is not responsible for administration and contents of this web site!
Вторая ссылка, очевидно, использовала уязвимость типа URL redirect на одном из поддоменов Mail.ru, однако, судя по всему, уязвимость уже успели устранить. Возможно злоумышленники решили, что такая ссылка легче пройдёт через firewall.
Домен dwnfile.ru зарегистрирован 1 февраля 2013 года со скрытием информации о владельце.
В тексте страниц лендинга также присутствуют ссылки на следующие домены:
uprgadotesbest.com — зарегистрирован 26 декабря 2012 года через PrivacyProtect.org и на текущий момент имеет статус «Locked»
uploadeasy.ru — домен вообще не зарегистрирован, видимо забыли в суете выкатывания «в продакшн», киберсквоттеры, налетай!
Все домены регистрировались через Reg.ru.
Кроме того, троян отключает в реестре использование прокси, что, очевидно, повлияет на работу IE и Chrome, у Firefox и Opera собственные настройки для прокси.
Партнерка
Далее, ссылка _http://dwnfile.ru/get_xml?file_id=18499626 возвращает нам XML следующего содержания:
Любому при взгляде на это нехитрое содержимое, становится очевидно, что мы имеем дело с очередной партнёрской программой по так называемым «инсталлам», параметр guid — это уникальный идентификатор бота в будущем ботнете, а partner в данном контексте — это аффилиат, человек, зарегистрировавшийся в партнерской программе, получивший в её кабинете ссылки на файлы для распространения и распространяющий эти файлы в меру своей испорченности, получая при этом некоторый процент от доходов владельцев партнерской программы и ботнета из ничего не подозревающих пользователей. Погуглив идентификатор profitraf1, выходим на саму партнерскую программу: profitraf.ru
Регистрация только по инвайтам, однако первый же попавшийся в гугле инвайт подошёл и я попал внутрь: 
Нас встречает приятный дизайн, статистика, баланс и даже реферальная система, всё очень канонично. В разделе «Установка кода» написано:
Кому принадлежит Mail.ru: информация о бенефициарах
После продажи прав на интернет-сервис его разработчиками А. Кривенковым, Д. Андриановым и Е. Голандом структура собственников постоянно менялась. Текущей ключевой фигурой признан Добродеев Б.О., которому передал свое право голоса в компании миллиардер Усманов А.Б, по-прежнему остающийся бенефициаром.
Крупнейший российский интернет-портал Mail.ru занимает 5-е место в рейтинге мировых почтовых сервисов по дневной аудитории. Для удобства пользователей на главной странице сайта организована единая точка входа в сервис, который включает электронную почту, поиск, мессенджеры, ресурс для хранения Облако и социальную сеть «Мой мир».
Собственник Mail.ru – акционерное общество, зарегистрированное в 2005 году на Британских Виргинских островах, с головным офисом в Лимасоле (Кипр). Его полное название Mail.ru Group Limited. Ему же принадлежат крупнейшие соцсети «Одноклассники» и «Вконтакте», онлайн-игры Warface, Skyfordge и другие популярные интернет-сервисы и площадки.
Ключевые особенности сервиса:
- неограниченный размер ящика;
- встроенная защита от вирусов и спам-рассылок;
- бесплатное использование;
- возможность пересылки относительно больших объемов информации (до 20 гигабайт).
Средняя ежемесячная аудитория проекта – 32,3 млн пользователей (более 100 млн активных аккаунтов).
Основная работа сосредоточена в Москве. Имеются филиалы в Воронеже, Санкт-Петербурге, Нижнем Новгороде.
Фото: Логотип Mail.ru
С 2003 года руководит работой предприятия Дмитрий Гришин. В 2005 году он был в числе сооснователей Mail.ru Group. С 2012 года занимает пост главы совета директоров управляющей компании.
Фото: председатель совета директоров и сооснователь Mail.ru Group Гришин Д.С.
Его преемником на посту генерального директора стал Добродеев Борис, занявший эту должность в 2016 году.
Фото: Добродеев Б.О.
Ранее он совмещал пост руководителя социальной сети «Вконтакте» и обязанности директора по стратегии и развитию группы Майл.
Цепочка владельцев
Интернет-портал проходит по российским базам как ООО «Мэйл.Ру», генеральным директором которого является Багудина Елена Геннадьевна. По данным ЕГРЮЛ, эта организация на 100% принадлежит ООО «Мэйл.Ру Груп», хозяин которой «МГЛ Мэйл.Ру Эквити Лимитед». Примечательно, что фирма зарегистрирована на Кипре, поэтому данных о ее учредителях в российской базе нет. Она через еще одного нидерландского посредника принадлежит уже самой главной компании – Mail.ru Group Limited.
Размещенная на сайте corp.mail.ru информация говорит о том, что акционерный капитал распределился следующим образом:
- 27,6% Naspers (южноафриканская медиагруппа, работающая в сфере СМИ и интернет-технологий);
- 10% Alibaba (китайская корпорация, специализирующаяся на интернет-коммерции);
- 7,4% Tencent (телекоммуникационная компания из Поднебесной);
- 5,2% MFT (АО «МФ-технологии»).
49,8% акций находится в свободном обращении.
График: Распределение акций
Источник: годовая финансовая отчетность организации за 2018 год
Но учитывая, что Mail.ru выпускает акции разного класса, обеспечивающие дифференцированное распределение прав на руководство, структура правления компанией выглядит иначе:
- 21,5% MFT;
- 12,3% Naspers;
- 4.5% MegaFon;
- 3.3% Tencent;
- 58,4% прочие миноритарии.
График: Распределение голосов акционеров
Источник: годовая финансовая отчетность организации за 2018 год
Техническое большинство (21,5% голосов) – АО МФ-технологии. Это совместное предприятие, принадлежащее USM Алишера Усманова, Газпромбанку, Мегафону и Ростеху. Именно эти структуры можно считать конечными собственниками компании.
В правлении присутствуют представители двух китайских фирм Naspers и Tencent. Российский сотовый оператор Мегафон помимо доли в МФ-технологии является держателем 4,5% акций, дающих право голоса.
Особенности акционерного капитала
Mail.ru Group – публичное АО. Его активы котируются на бирже под тиккером MAIL. Капитал компании имеет интересную особенность, выпускаемые ими ценные бумаги бывают двух классов:
- «А» – акции, дающие 25 голосов;
- «В» – обыкновенные акции, вес которых составляет 1 голос.
Получаемые преференции класса «А» касаются только права голосования. Доли в уставном капитале распределены между всеми держателями акций в равной степени.
Источник: официальный сайт компании (раздел для инвесторов «Акции и акционерный капитал»)
Примечание! Владельцы привилегированных А-акций имеют право продавать их на бирже. Но в этом случае ценные бумаги автоматически будут переконвертированы в обыкновенные. По мнению аналитиков, такая инвестиционная политика направлена на сохранение существующей структуры руководства компании.
Кто главный собственник
Фактическим владельцем Mail.ru признано акционерное общество МФ-технологии. К этой организации, как и к Мегафону и Газпромбанку, имеет непосредственное отношение бизнесмен Алишер Усманов.
Фото: инстаграм kremlin_russian.
Из видеообращения Усманова к Навальному
Неожиданно для всех в 2018 году Усманов передает свои голоса генеральному директору группы – Добродееву Б.О., который за годы правления зарекомендовал себя надежным руководителем. Фактически он приобрел право голосовать от имени акционера MFT, но передать эти полномочия третьим лицам не сможет.
Так что фактическим бенефициаром был и остается Усманов. Аналитики считают, что причиной сделки стало опасение попадания миллиардера под антироссийские санкции. Сам же бизнесмен объяснил это желанием уступить место молодым руководителям.
Усманову А.Б. принадлежит ряд предприятий. В их числе USM Holding, Мегафон, ИД «Коммерсантъ», Байкальская горная компания, «Металлоинвест» и ряд других организаций. В текущем году он занимает 9 место в списке богатейших людей России журнала Forbes.
Историческая справка
Бизнес Мейл.ру основан в 1998 году. Прообразом стартапа стал американский сервис от компании Yahoo, сочетающий виртуальную почту, каталог электронных ресурсов и разделы с информацией. Официально интернет-портал заработал в 2001 году. Воплотили идею в жизнь А. Кривенков и Д. Андрианов. На первых этапах продвижением сервиса занималась компания Port.ru под руководством Е. Голанда и разработчиков.
В 2001 Port.ru сливается с NetBridge Ю. Мильнера. Последний вместе со своим партнером Г. Фингером постепенно выкупили долю основателей сервиса. Со временем структура собственников поменялась, и в 2018 году правление перешло к Б. Добродееву.
В мае 2005 год образована компания Mail.ru Group, в ведение которой перешел сервис. В последующие годы портал постоянно развивался и обновлялся:
- 1998 г. – Новости;
- 2004 г. – Недвижимость;
- 2005 г. – появился раздел Авто и Леди;
- 2006 г. – Игры;
- 2008 г. – Дети;
- 2009 г. – Здоровье;
- 2012 г. – Спорт;
- 2013 г. – Кино;
- 2014 г. – Добро;
- 2018 г. – Все аптеки.
В ближайшее время планируется запустить в работу голосовой помощник «Маруся». Его демо-версия уже представлена в высших правительственных кругах.
Агент: Мессенджер, видеозвонки
Агент для Android – для сообщений и звонков, с дополнительной поддержкой ICQ.
Используйте видео звонки и групповой чат, отправляйте бесплатные сообщения, обменивайтесь фото и видео, стикеры и совершайте дешевые звонки за границу. С мобильным Агентом вы можете общаться так, как вам удобно!
В приложении Агент вам доступны безопасные зашифрованные звонки и видеозвонки высокого качества. Для вашего удобства мы добавили возможность переводить голосовые сообщения в текст, а также возможность создавать свои стикеры и использовать анимированные 3D маски в видеозвонках.
Общайтесь в групповых чатах с неограниченным количеством участников, синхронизируйте переписки на всех устройствах и создавайте каналы!
Mail.ru Group
Откройте счёт с тарифом «Всё включено» за 5 минут, не посещая офис.
проект «Открытие Инвестиции»
Открыть брокерский счёт
Тренировка на учебном счёте
Об «Открытие Инвестиции»
Москва, ул. Летниковская,
д. 2, стр. 4
8 800 500 99 66
Согласие на обработку персональных данных
Размещённые в настоящем разделе сайта публикации носят исключительно ознакомительный характер, представленная в них информация не является гарантией и/или обещанием эффективности деятельности (доходности вложений) в будущем. Информация в статьях выражает лишь мнение автора (коллектива авторов) по тому или иному вопросу и не может рассматриваться как прямое руководство к действию или как официальная позиция/рекомендация АО «Открытие Брокер». АО «Открытие Брокер» не несёт ответственности за использование информации, содержащейся в публикациях, а также за возможные убытки от любых сделок с активами, совершённых на основании данных, содержащихся в публикациях. 18+
АО «Открытие Брокер» (бренд «Открытие Инвестиции»), лицензия профессионального участника рынка ценных бумаг на осуществление брокерской деятельности № 045-06097-100000, выдана ФКЦБ России 28.06.2002 г. (без ограничения срока действия).
ООО УК «ОТКРЫТИЕ». Лицензия № 21-000-1-00048 от 11 апреля 2001 г. на осуществление деятельности по управлению инвестиционными фондами, паевыми инвестиционными фондами и негосударственными пенсионными фондами, выданная ФКЦБ России, без ограничения срока действия. Лицензия профессионального участника рынка ценных бумаг №045-07524-001000 от 23 марта 2004 г. на осуществление деятельности по управлению ценными бумагами, выданная ФКЦБ России, без ограничения срока действия.