Rostpay ltd что это

ROSTPAY LTD — что это за программа и можно ли удалить?

Приветствую друзья, сегодня у нас будет разговор о программе ROSTPAY LTD, я лично ничего и никогда о ней не слышал. Но разберемся. Поехали!

ROSTPAY LTD — что это такое?

В общем смотрите, я недавно качал прогу DriverHub, просто чтобы посмотреть ее. И вот после установки ее.. если зажать Win + R, а потом написать команду:

То у нас откроется окно установленного софта, и вот тут есть прога DriverHub, а вот в колонке Издатель указано ROSTPAY LTD:

Простыми словами, ROSTPAY LTD — компания, которая создала прогу DriverHub.

Но тут у вас может быть вопрос, а что такое DriverHub? Ребята это прога для автоматического поиска, скачивания и установки драйверов. Отзывы о ней 50 на 50, кому-то она реально помогла, а кому-то реально угробила комп.. Короче ей пользоваться можно, но только не новичкам..

Если в поиск вбить ROSTPAY LTD, то вы легко найдете официальный сайт:

Компания, ну судя по сайту — серьезная, создана была в 2001 году. Она разрабатывает популярные интернет-проекты, мобильные приложения, программы и делает это уже больше 10 лет. Кстати если у них на сайте зайти в партнеры, то там будут знаете кто? Яндекс и Гугл))

Проги от ROSTPAY LTD

Отправился в интернет, нашел сайт, там пишется, что разработчик ROSTPAY LTD сделал такие проги:

Хм, в принципе неплохо.. правда проги не особо то популярны..

Вот например ComboPlayer взять — это плеер онлайн-тв и радио можно слушать:

Driver Updater — это.. вроде тоже прога по обновлению дров как DriverHub.

ZipSoft это прога.. при помощи которой можно установить другие программы, другими словами это установщик популярных программ:

В общем понятно все уже точно — ROSTPAY LTD это разработчик программ, правда не особо популярных))

Поэтому все проги в окне Программы и компоненты, в колонке которых идет ROSTPAY LTD, то.. ну это понятно — проги от этого разработчика. Кстати в этом окне проги можно и удалить — просто нажмите правой кнопкой, выберите пункт Удалить:

Заключение

В общем ребята, мне кажется, что главное мы выяснили:

Надеюсь информация кому-то пригодилась)) Удачи и добра, до новых встреч господа!

Источник

Срыв масштабной хакерской атаки на пользователей Windows в России: часть 2

Совсем недавно мы предотвратили массовую атаку с применением трояна Dofoil, целью которой была установка вредоносного ПО для майнинга криптовалют на сотни тысяч компьютеров. С помощью поведенческого мониторинга, моделей машинного обучения и многоуровневой системы защиты антивирусная программа Windows Defender смогла эффективно выявить и заблокировать атаку в течение несколько миллисекунд.

Сегодня мы еще подробнее расскажем о самой атаке, путях заражения и поделимся временно́й шкалой. Заглядывайте под кат!

Сразу после обнаружения атаки мы смогли определить, откуда именно совершается огромное количество попыток установить вредоносное ПО. Как правило, троян Dofoil (также известный как Smoke Loader) распространяется самыми разными способами, включая спам-сообщения и наборы эксплойтов. Для атаки, которая началась 6 марта, использовалась другая схема: большинство вредоносных файлов создавалось процессом mediaget.exe.

Этот процесс относится к MediaGet, BitTorrent-клиенту, соответствующему классификации семейств потенциально нежелательных приложений. Пользователи часто используют приложение MediaGet для поиска и загрузки программ и мультимедийных файлов с сайтов с сомнительной репутацией. Использование таких приложений для файлообмена повышает риск загрузки вредоносных программ.

Однако, изучив атаку, мы пришли к выводу, что заражение криптомайнером Dofoil не связано с загрузкой torrent-файлов. Ранее мы не наблюдали такую схему в других файлообменных приложениях. Процесс mediaget.exe всегда записывал образцы Dofoil в папку %TEMP% с именем my.dat. Наиболее часто источником заражения был файл %LOCALAPPDATA%\MediaGet2\mediaget.exe (SHA-1: 3e0ccd9fa0a5c40c2abb40ed6730556e3d36af3c).

Рекомендуемые материалы: статистические данные об атаке, полезные сведения и данные о реагировании Windows Defender см. в статье Срыв масштабной хакерской атаки на пользователей Windows в России.

Временная шкала осуществленной атаки

Всестороннее изучение атаки Dofoil, предпринятой 6 марта, показало, что это была тщательно спланированная кампания, которая готовилась злоумышленниками с середины февраля. Для осуществления задуманного злоумышленники сначала распространили вирус через обновление программы MediaGet, которую пользователи установили на свои компьютеры. Временная шкала ниже отображает основные события в рамках атаки Dofoil.

Рис. 1. Временная шкала атаки через MediaGet

Заражение обновления программы MediaGet

Процесс заражения обновления для MediaGet, которое в итоге привело к массовой атаке, описано в следующей схеме. Доверенное приложение mediaget.exe загружает исполняемый файл update.exe и запускает его на компьютере для установки нового экземпляра mediaget.exe. Новый экземпляр приложения mediaget.exe имеет все те же функции, что и подлинный, однако при этом в нем предусмотрена лазейка.

Рис. 2. Процедура заражения файла обновления

Вся процедура установки инфицированного файла обновления отслеживается сервисом Windows Defender ATP. Следующее дерево процессов показывает, как процесс mediaget.exe внедряет зараженный подписанный файл update.exe.

Рис. 3. Обнаружение вредоносного процесса обновления в Windows Defender ATP

Зараженный файл update.exe

Загруженный update.exe представляет собой пакетный файл InnoSetup SFX, в который встроен зараженный трояном файл mediaget.exe. При запуске этот исполняемый файл внедряет зараженную трояном неподписанную версию приложения mediaget.exe.

Рис. 4. Данные сертификата зараженного файла update.exe

Update.exe подписан сторонним разработчиком ПО, не связанным с MediaGet (вполне вероятно, что эта компания является жертвой злоумышленников). Исполняемый файл содержит код, подписанный другим сертификатом, задача которого — просто передать такое же требование о подтверждении подписи, как и в исходном файле mediaget.exe. Код обновления выполняет проверку данных сертификата, подтверждая, что он является действительным и подписан надлежащим образом. Если сертификат подписан, он проверяет, совпадает ли значение хэша со значением, полученным от хэш-сервера в инфраструктуре mediaget.com. На следующей иллюстрации показан фрагмент кода, который выполняет проверку действительных подписей для файла update.exe.

Рис. 5. Код обновления mediaget.exe

Зараженный трояном файл mediaget.exe

Зараженный трояном файл mediaget.exe, распознанный антивирусом Windows Defender AV как Trojan:Win32/Modimer.A, выполняет те же функции, что и исходный файл, однако он не подписан и имеет лазейку. Этот вредоносный двоичный код на 98 % совпадает с исходным двоичным кодом MediaGet. Согласно следующим данным PE, в исполняемом файле указаны другие данные PDB и иной путь файла.

Рис. 6. Сравнение путей PDB подписанного и зараженного трояном исполняемого файла

При запуске вредоносной программы создается список серверов управления и контроля (C&C).

Рис. 7. Список серверов C&C

Первое обращение к серверу C&C происходит спустя один час после запуска программы.

Рис. 8. Таймер начала подключения к серверу C&C

Вредоносная программа выбирает один из четырех серверов C&C. Программа использует протокол HTTP для обмена данными управления и контроля.

Рис. 9. Подключение к серверу C&C

Код лазейки собирает сведения о системе и отправляет их на сервер C&C через POST-запрос.

Рис. 10. Сведения о системе

Сервер C&C возвращает на клиент различные команды. Следующий ответ содержит команды HASH, IDLE и OK. Команда IDLE задает ожидание процесса в течение определенного периода (в секундах, например — 7200 секунд = 2 часа) до повторного обращения к серверу C&C.

Рис. 11. Команды управления и контроля

Одна из команд лазейки — RUN, которая получает URL-адрес из командной строки сервера C&C. Затем вредоносное ПО загружает файл с URL-адреса, сохраняет его в папку %TEMP%\my.dat и запускает его.

Рис. 12. Код обработки команды RUN

Эта команда RUN использовалась для распространения трояна Dofoil, начиная с 1 марта, и в рамках атаки, предпринятой 6 марта. Дерево процессов оповещения Windows Defender ATP демонстрирует обмен данными между вредоносным процессом mediaget.exe и goshan.online, одним из подтвержденных серверов C&C. После этого программа внедряет и запускает файл my.dat (Dofoil), который в итоге ведет к компоненту CoinMiner.

Рис. 13. Dofoil, процесс загрузки и выполнения CoinMiner

Рис. 14. Дерево процессов системы оповещения Windows Defender ATP

В рамках атаки троян Dofoil использовался для доставки вредоносной программы CoinMiner, задача которой — использовать ресурсы компьютеров пользователей для майнинга криптовалют в пользу злоумышленников. Троян Dofoil при атаке использовал изощренные приемы внедрения вредоносного кода в адресное пространство процессов, механизмы обеспечения устойчивости и методы уклонения от обнаружения. Windows Defender ATP успешно обнаруживает такое поведение на всех этапах заражения.

Рис. 15. Обнаружение внедрения процесса Dofoil в Windows Defender ATP

Мы сообщили о результатах наших исследований разработчикам MediaGet, чтобы помочь им грамотно проанализировать инцидент.

Мы также рассказали владельцам сертификата о том, как их сертификат подписи кода используется злоумышленниками в файле update.exe (отпечаток: 5022EFCA9E0A9022AB0CA6031A78F66528848568).

Защита от вирусных атак в режиме реального времени

Тщательно спланированная и заранее подготовленная кампания с применением Dofoil, обнаруженная 6 марта, представляет собой яркий пример многоуровневой вирусной кибератаки, которые сегодня происходят все чаще. При совершении типовых киберпреступлений теперь используются все более сложные приемы, которые ранее ассоциировались с более изощренными кибератаками. Windows Defender Advanced Threat Protection (Windows Defender ATP) предоставляет расширенный набор инструментов безопасности нового поколения, которые обеспечивают защиту клиентов в реальном времени от самых разных видов атак.

Корпоративные клиенты, использующие антивирус Windows Defender AV, активировавшие функцию защиты от потенциально ненадежных приложений, были защищены от ПО MediaGet, зараженного трояном, которое оказалось источником вирусной атаки 6 марта.

Windows Defender AV обеспечил надежную защиту клиентов от атак с применением Dofoil. Технологии поведенческого мониторинга и анализа выявили необычный механизм стойкости Dofoil и сразу же отправили соответствующий сигнал в облачную службу защиты, где многочисленные модели машинного обучения мгновенно блокировали большинство обнаруженных угроз при их появлении.

Всесторонний анализ атаки также показал, что расширенные библиотеки обнаружения в Windows Defender ATP помечали вредоносное поведение Dofoil на всех этапах заражения. К вредоносному поведению можно отнести внедрение кода, методы защиты от обнаружения и внедрение компонентов для майнинга криптовалют. Специалисты по безопасности могут использовать платформу Windows Defender ATP для обнаружения атак и эффективного реагирования на них. Windows Defender ATP также предоставляет встроенные инструменты защиты Windows Defender AV, Windows Defender Exploit Guard и Windows Defender Application Guard, обеспечивая безупречное управление системой безопасности на всех уровнях.

Источник

PUA:Win32/Rostpay Removal. How to remove Rostpay Adware?

PUA:Win32/Rostpay is a detection name indicating the adware program https://en.wikipedia.org/wiki/Adware’> 1 that installs in-browser content without users’ consent or permission.

It is better to prevent, than repair and repent!

Subscribe to our Telegram channel to be the first to know about news and our exclusive materials on information security.

What is Rostpay?

Rostpay is adware that appears on the screen when antivirus detect suspicious activity.

PUA:Win32/Rostpay turns up on the browser and also causes Google Chrome, Mozilla Firefox, or Internet Explorer to break down. Sadly, resetting the browser or uninstalling the application completely does not function since all the actions is triggered by a cyber burglar that operates on the maker behind your back.

PUA:Win32/Rostpay infection comes from a household of adware that is a term made use of to describe potentially unwanted applications that tend to penetrate equipments with the help of software bundling – an unreasonable method utilized by freeware and shareware designers to distribute different PUPs. Although it is not really a virus, users can observe that their web browsers are infused with numerous advertisements, in addition to redirects that lead them to suspicious websites on the web.

PUA:Win32/Rostpay customizes specific setups on the system like Windows registry as well as browser preferences (collections start as well as homepage to Yahoo). It also develops a folder in the Program Files directory and also possesses the capability to change Chrome’s safe preferences without consent, as well as staying clear of detection by the web browser. This habits is deemed to be destructive by security experts, as well as the only appropriate means to manage these unwanted apps changes is to eliminate Rostpay from your maker.

We can specify that PUA:Win32/Rostpay is irritating as well as aggravating intruder due to the infiltration approach alone. The elimination process ends up being also much more stressful when your AV tool starts supplying messages regarding the unethical activity for you and it appears that this way you can eliminate the infection.

Rostpay Technical Summary.

PUA:Win32/Rostpay shows up commonly and also people all like one grumbles that these informs maintain turning up till you totally remove this PUP and all connected applications, documents, in-browser web content.

Often you likewise need to upgrade the tool so it spots the hazard in its entirety brand-new malware as well as can totally erase it. In various other cases, Rostpay infection notifies come to your display affecting the browsing online much more than all those regular adware signs.

Along with basic setups alteration, PUA:Win32/Rostpay can additionally install additional browser extensions, attachments, and also plugins without authorization.

Sale Charger is an additional annoying adware program that infuses web browsers with phony promotions or leads individuals to fraud or phishing websites. This way, adware multiplies fast, bloating the system and reducing it down.

If you are asking yourself if you are infected with PUA:Win32/Rostpay virus, examine the pop-ups, offers, banners or deals that appear out of no place. These advertisements ought to be marked with the complying with message:

The intrusive advertisement is targeting users in the hope of making them buy even more products or services from designers’ enrollers. Those that are in worry about these issues are not incorrect – if the adware is installed on the computer system, malware infections and also dripped personal information is a likelihood which might become a reality eventually.

Redirects and also advertisements typically produce income from each click or browse through (pay-per-click scheme). It additionally boosts online web traffic of unknown retailers, boosting their chances of making a sale. Nonetheless, the presence of Rostpay is just beneficial to its programmers, as customers have to battle with internet browser stagnations, endangered search engine result, regular redirects, and extreme advertisements.

Checking out such web pages filled with commercial content, marketing banners, or creating the added pop-ups as well as redirects can trigger a lot more damages than this burglar itself. Constant searching on such domains exposes you to harmful material as well as can trigger straight downloads of adware and also also malware, so stay away from web pages and always review EULA or Privacy Policy before purchasing or downloading and install anything.

The primary trouble of PUA:Win32/Rostpay virus is that the programmers do not check the content they may link individuals to. The tunnel of web pages can lead targets to dangerous websites, including malware-infested, phishing, fake update or other harmful sites. Thus, the infection of ransomware, cryptominer, spyware or a keylogger is simply nearby.

The reason being is that adware spies on users that have actually the software program installed. PUA:Win32/Rostpay accumulates information concerning individuals’ surfing practices, their IP address as well as comparable. In many cases, potentially unwanted programs can also check keystrokes, consisting of individuals’ name, credentials, checking account details, house address, etc.

PUA:Win32/Rostpay is not identified as malware, the dangers are still there. Download and install anti-malware software application and run a detailed check of the gadget for PUA:Win32/Rostpay removal. We likewise suggest cleaning your PC totally with GridinSoft Anti-Malware.

How my PC infected by PUA:Win32/Rostpay?

Adware can infiltrate your computer via freeware installations.

Some potentially undesirable programs can be downloaded and install directly from main websites or internet stores (such as Google Web Store). That is not the most prominent PUP circulation approach. Software bundling is a strategy utilized by freeware and also shareware programmers often make use of software program packing to infuse users’ devices with unwanted applications.

They inject installers or legit programs or updates with optional parts in the hopes of users missing steps and also selecting Recommended or Quick installment mode. Sadly, most users do and wind up infecting makers with unpleasant software that would certainly otherwise be not invited.

PUA:Win32/Rostpay infected PC

After downloading a cost-free application from the web, make sure you do not rush its installment. Do not click “Next” without looking and also always select Advanced or Custom setup setups. This permits you to prevent invasion of toolbars, add-ons, media gamers, system optimizer and various other undesirable programs on your computer.

How to terminate PUA:Win32/Rostpay?

In most cases, the removal steps is not that complex as well as can be carried out by anyone. There are two means you can finish PUA:Win32/Rostpay removal: manual and automatic.

Manual termination approach needs your full focus, as the wrong procedure may bring about system damage. We additionally inhibit people that are not that acquainted with computer systems and also their systems to follow this method. If you are tech-savvy as well as know what you are doing, examine our detailed overview below, it will clarify just how to carry out a complete elimination of PUA:Win32/Rostpay infection, as well as program exactly how to reset each of the browsers manually.

For novice computer system individuals we recommend picking an automated strategy. Safety and security software application can discover and also get rid of PUA:Win32/Rostpay swiftly as well as successfully. Merely download among the programs mentioned listed below and also check your equipment by following on-screen guidelines.

Источник

Rostpay ltd что это

Частый гость

Группа: User
Сообщений: 74
Регистрация: 9.6.2009
Из: г.Томск
Поблагодарили: 6 раз
Репутация: 2