Компания «Доктор Веб» сообщает о том, что бот-сеть Win32.Rmnet.12, чья деятельность была впервые зафиксирована в сентябре 2011 г., в июне с.г. инфицировала не менее 3,2 млн компьютеров. Этот факт представляет серьезную опасность для пользователей, поскольку файловый вирус Win32.Rmnet.12 способен красть пароли от популярных FTP-клиентов и выполнять функции бэкдора. «Доктор Веб» отмечает, что еще в апреле 2011 г. бот-сеть насчитывала 1 млн компьютеров, а в конце мая – 2,5 млн рабочих станций, таким образом созданная злоумышленниками бот-сеть ежедневно инфицирует от 5 до 15 тыс. машин.

Самое значительное количество инфицированных файловым вирусом Win32.Rmnet.12 компьютеров находится в Индонезии (22,6%), на втором месте Бангладеш (15,8%), далее следуют Вьетнам (13,2%), Индия (7,9%), Пакистан (4,9%) и Египет (3,5%). На долю России приходится 2,8% от всего объема бот-сети, что в количественном выражении значительно больше по сравнению с показателями месячной давности.

Вирус способен самокопироваться в исполняемые файлы и сменные носители информации и распространяется с помощью встраиваемых в веб-страницы сценариев, написанных на языке VBScript. Вирус состоит из нескольких модулей, его основной вредоносный функционал позволяет встраивать в просматриваемые веб-страницы посторонний контент (веб-инжекты), перенаправлять пользователя на указанные злоумышленниками сайты, а также передавать на удаленные узлы содержимое заполняемых жертвой форм.

Отмечается, что основной вред от троянца происходит из-за того, что он крадет пароли от популярных FTP-клиентов, таких как Ghisler, WS FTP, CuteFTP, FlashFXP, FileZilla и Bullet Proof FTP. Затем вирус запускает на инфицированном компьютере локальный FTP-сервер и в результате использования технологии обратного соединения, применяемой для подключения к внутренним сервисам, может установить связь с запущенным на инфицированном ПК FTP-сервером, даже если компьютер жертвы не имеет выделенного внешнего IP-адреса. Также Win32.Rmnet.12 способен выполнять поступающие от удаленных центров команды и передавать на сайты злоумышленников похищенную с инфицированного компьютера информацию.