Просмотр полной версии : Вредоносное ПО (Обзор)
http://img243.**************/img243/9619/logoqb7.gif (http://**************)
Новый почтовый червь распространяется под видом сообщений о начале ядерной войны
13 ноября 2006 г.
Служба вирусного мониторинга компании «Доктор Веб» сообщает о распространении нового почтового червя, получившего название по классификации Dr.Web – Win32.Dref. У других производителей червь получил название Email-Worm.Win32.Luder.a, Email-Worm.Win32.Glowa, Worm.Glowa. Червь появился в начале ноября, и на сегодняшний день число его модификаций перевалило за десяток.
В рассылаемых сообщениях червь сообщает о якобы начавшейся ядерной войне между Российской Федерацией и США, предлагая доверчивым пользователям ознакомиться в подробностями, которые они могут почерпнуть из приложенного к письму файла. Отдельные модификации Win32.Dref предлагают пользователям ознакомиться с подробностями смерти президентов упомянутых стран. Вложения представляют собой файлы с расширением *.exe (open.exe, truth.exe, war.exe, last.exe, about me.exe, a.exe, never.exe, latest news.exe, read me.exe).
Будучи запущенным неосторожным пользователем, червь заражает все исполняемые файлы, а также добавляет исполняемый файл во все найденные rar-архивы, создаёт свои копии с расширением *.t на сетевых ресурсах. Свою работу при последующем запуске системы обеспечивает оригинальным способом - зараженные файлы не содержат тело вируса, а только небольшой код, который запускает основное тело из другого файла. В результате работы червя заметно снижается производительность компьютера.
Компания «Доктор Веб» предупреждает пользователей не открывать письма, пришедшие от неизвестных адресатов и, тем более, не открывать вложения, прикреплённые к таким письмам.
Если вы подозреваете, что ваш компьютер оказался поражённым Win32.Dref, и у вас нет установленного антивируса, бесплатная утилита Dr.Web CureIt! поможет корректно вылечить исполняемые файлы. При этом следует обратить внимание на то, что для поиска инфицированных червем rar-архивов необходимо использовать дисковый сканер Dr.Web. Следует помнить, что Dr.Web не производит лечения инфицированных архивов, поэтому при обнаружении инфицированных червем rar-архивов удалять копию червя из архива придется вручную.
Новый компьютерный вирус-паразит
http://images.kaspersky.com/ru/vldesign/logo_bot.gif
В интернете появился новый вид вируса, который при попадании на компьютер пользователя первым делом излечивает его от других вредоносных программ. Для этого SpamThru загружает из интернета на компьютер пользователя библиотеки, необходимые для работы антивирусного модуля вируса. Сообщается, что при этом используются DLL Антивируса Касперского.
После того, как троян загрузил все необходимые файлы, в реестре прописывается ключ, необходимый для полноценной работы антивирусного модуля. Таким образом обеспечивается работоспособность программы, которая воспринимает модуль как лицензионную копию Антивируса Касперского, сообщает SecureWorks, компания, силами которой и был обнаружен и идентифицирован вирус SpamThru.
Спустя 10 минут после загрузки всего необходимого для собственной работы, вирус начинает сканирование системы, удаляя при этом все известные вирусы и другие вредоносные программы. При этом себя, кончено же, SpamThru не проверяет, и оставляет на компьютере для дальнейшей деятельности. После перезагрузки троян начинает ту работу, для которой он и был предназначен, так как теперь трафик, необходимый для его полноценной работы, свободен.
SpamThru, имеющий собственный спаммерский движок, загружает на зараженный компьютер файлы, содержащие всю необходимую для спама информацию – списки рассылок, случайные фразы и генератор обратных адресов. При этом для доставки шаблонов будущих спам-писем с координирующего сервера используется AES-шифрование, которое предотвращает использование шаблонов конкурентами.
После этого создается сообщение, содержащее картинку в формате GIF, которая имеет разные размеры в каждом письме, что серьезно затрудняет борьбу анти-спаммерских программ, и отправляется по назначению.
Так, что пользователи КАСПЕРЫЧА будьте осторожны)
Посетители FastMP3Search.com.ar рискуют "подцепить" вирус
http://img150.**************/img150/8583/snap2cn7.jpg
Администрация сайта StopBadware.org (посетитель этого сайта может узнать, что грозит его компьютеру при заражении каким-либо вредоносным кодом, и как защититься от подобной напасти) и специалисты Центра демократии и технологий (Center for Democracy and Technology, CDT) намерены подать в Федеральную торговую комиссию (FTC) США коллективную жалобу на сайт FastMP3Search.com.ar.
Антивирусные специалисты утверждают, что FastMP3Search.com.ar, позиционирующий себя как онлайновый поисковик музыки, распространяет вредоносное программное обеспечение. Посетителям сайта предлагается установить небольшой плагин, который якобы позволяет загружать найденные поисковиком MP3-файлы. На самом деле, "плагин" представляет собой набор вредоносного ПО, в котором нашлось место рекламному модулю и трояну. После загрузки софт отключает штатный брандмауэр Windows.
Один из основателей StopBadware Джон Полфри отметил, что за годы работы специалисты организации сталкивались с самыми разными видами вирусной активности, однако подобный наглый способ распространения вирусного ПО встречают впервые. Специалисты StopBadware попробовали скачать хотя бы один MP3-файл при помощи FastMP3Search.com.ar, однако попытки успехом не увенчались.
В настоящее время открыть главную страницу FastMP3Search.com.ar не удается - сайт недоступен. При попытке открыть главную страницу сайта через страницу поиска Google появляется сообщение, предупреждающее, что посещение сайта небезопасно.
Эксперты StopBadware, созданной при поддержке Sun Microsystems, Google и Lenovo, не смогли определить владельца сайта FastMP3Search.com.ar, однако выяснили, что сайт зарегистрирован в Аргентине. В StopBadware надеются, что это удастся сделать FTC, которая может обратиться за помощью к аргентинским властям, сообщает News.com.
Deementor
11.12.2006, 15:58
обнавляйте свои антивирусные бызы каждый день, принудительно или настройте автоматически но на каждый день, пользуйте проверенные антивирусники и файрволлы, так как не только вирусы страшны, но и программы (официальные) в которых встроенны "шпионы" не уж то вам все равно, если прогмулина отсылает своим "хозяевам" где вы в сети, с кем вы в сети и все такое? Я сщитаю так: "Даешь свободное и не кем ни контролируемое передвежение в сети"!!!!!!! а то скоро мы вообще станем платить налоги за виртуальную собственность. Типа поиграл в онлайн-игру, накопил там средства, купил что нить, а тут вам налоговая "простите сэр, вот у вас виртуальная собственность есть, заплатите налог"
Deementor
14.12.2006, 18:37
Для информации:
Вновь появился датошный вирус, который ничего не делает, акромя как посылает запрос на флоп, процессы в tascmgr.exe следующие: temp1, temp2, антивирями пока не определяется.
Если подцепили, то вот пилюлька.
В редакторе реестра /правка/найти\наберите run и тщательно отслеживайте все ключи, подозрительные удаляйте, но только не перестарайтесь
Вирус Warezov устроил эпидемию через ICQ
http://img150.**************/img150/8583/snap2cn7.jpg
Вчера многие рунетчики получили по ICQ от знакомых приглашение на странный сайт seruijingandeshijinpos.com. Лучше не нажимать эту ссылку: иначе ваш компьютер превратится в тыкву.
Вирусные сообщения по аське начинаются короткой фразой "check this" или "my picture" - уже здесь русскоязычные пользователи могут насторожиться, если сообщение пришло от соотечественника (с чего бы это ему вдруг говорить по-английски?). После английской фразы следует ссылка на один из файлов, находящихся на домене seruijingandeshijinpos.com.
Первые вирусные ICQ-рассылки такого рода регистрировались еще осенью. Однако вчера это уже напоминало эпидемию. В частности, главред "Вебпланеты" получил за час аж четыре таких сообщения c ICQ-адресов знакомых красивых девушек, и с трудом сдержал себя в руках.
Как выяснила китайская антивирусная группа C.I.S.R.T, по присланным адресам-ссылкам располагаются трояны семейства Warezov. Сами китайцы скачали версию Email-Worm.Win32.Warezov.et, но предупреждают, что там можно подцепить и другие версии этого червя. На зараженном компьютере вирус выполняет различные вредносные действия, включая кражу адресов и персональных данных. Он может блокировать работу антивирусов, а также загружать через Интернет и запускать другие вредоносные программы. Кроме того, червь еще и размножается, то есть рассылает себя друзьям зараженного пользователя.
Китайцы также сообщают, что с этим вирусом уже борется "Антивирус Касперского". Однако не советуем надеяться на это без оглядки. Дело в том, что семейство Warezov размножается и мутирует очень быстро, и еще осенью разнообразные версии этого червя вышли в лидеры среди прочих почтовых вредителей. Эксперты "Лаборатории Касперского" предполагают, что вирус создали россияне или жители какой-то другой из стран СНГ, где используется кириллица.
Но сейчас на сайте "Лаборатории Касперского" висит лишь старое ноябрьское сообщение о том, что в антивирусные базы добавлено свыше 30 новых образцов Warezov. Однако прошел уже месяц, и в комментариях к этому предупреждению Касперского уже пишут, что новые версии червя не боятся антивируса. Кроме того, даже если антивирус Касперского обнаружил Warezov, это еще не вылечит компьютер: вирусные файлы надо удалять вручную.
При этом в осеннем предупреждении Касперского говорится лишь об опасности со стороны электронной почты - а про вариант эпидемии через ICQ там ничего не сказано. Хотя на этот счет есть старый и простой метод: не кликать по подозрительным ссылкам. На элементарный встречный вопрос по ICQ ("а что это за ссылка?") данный вирус пока что не умеет отвечать.
Будьте осторожны!
Deementor
21.12.2006, 15:40
Боюсь повторить соседей из раздела ICQ, но все таки считаю нужным.
Если Вас достал ICQ спам и прочая не нужная вам лабуда, то отключите в настройках: Общие/показывать мой онлайн-статус для web поиска.
Проверенно специально для пользователей и гостей форума NoWa.сс
Антивирус NOD32 вчерашнего обновления, база 1928(20061219) выносит предупреждения о подозрительном содержимом данного seruijingandeshijinpos.com.
домена.
Итак, буду здесь выкладывать ТОП самых распространных Вирусов, троянов и прочей нечести. Во избежание ФЛУДА, тему буду обновлять только Я
TOP 20 вредоносных программ на 20.12.2006
TOP 20 по количеству обнаружений за последние два дня
1 Trojan-Downloader.Win32.Small.dam
2 Email-Worm.Win32.Warezov.dn
3 IM-Worm.Win32.Qucan.h
4 Trojan-Downloader.Win32.Obfuscated.ba
5 Trojan-Downloader.Win32.Obfuscated.n
6 Trojan-Downloader.Win32.Small.cxx
7 IM-Worm.Win32.Qucan.n
8 Trojan-Downloader.Win32.Tiny.bm
9 Email-Worm.Win32.Warezov.fb
10 Trojan.Win32.Conycspa.i
11 Trojan-Downloader.Win32.Busky.gen
12 Trojan-Proxy.Win32.Small.bo
13 Trojan-Clicker.Win32.Agent.hz
14 Trojan.Win32.Agent.ws
15 Trojan-Downloader.Win32.Agent.bdb
16 Email-Worm.Win32.Bagle.gt
17 Trojan-Proxy.Win32.Agent.jw
18 Trojan-Downloader.Win32.Zlob.bfw
19 Trojan-Spy.Win32.Agent.pr
20 Trojan-Dropper.Win32.Agent.ol
TOP 20 по количеству обнаруженных модификаций за последние два дня
1 Trojan-Downloader.Win32.Small.dam
2 Trojan-Downloader.Win32.Busky.gen
3 Dialer.Win32.GBDialer.i
4 Trojan.Win32.DNSChanger.gi
5 Trojan.Win32.DNSChanger.hj
6 Trojan-Downloader.Win32.Small.ebj
7 Trojan-Downloader.Win32.Obfuscated.n
8 Trojan.Win32.DNSChanger.gp
9 Dialer.Win32.PluginAccess.s
10 Trojan-Dropper.Win32.Delf.aal
11 Trojan-Clicker.Win32.Small.kj
12 Trojan-Downloader.Win32.Tiny.bm
13 Trojan-Dropper.Win32.Delf.rc
14 Dialer.Win32.InstantAccess.af
15 Trojan.Win32.Agent.vg
16 AdvWare.Win32.Trymedia.b
17 Trojan-Downloader.Win32.Zlob.bfw
18 Trojan-Downloader.Win32.Tiny.et
19 Dialer.Win32.InstantAccess.ai
20 AdvWare.Win32.Casino.q
TOP 20 по количеству обнаружений за месяц
1 IM-Worm.Win32.Qucan.h
2 Trojan-Downloader.Win32.Small.dam
3 Email-Worm.Win32.Warezov.fb
4 Trojan-Downloader.Win32.Tiny.et
5 IM-Worm.Win32.Qucan.n
6 Email-Worm.Win32.Warezov.hb
7 IM-Worm.Win32.Qucan.a
8 Email-Worm.Win32.Banwarum.f
9 Trojan-Downloader.Win32.Busky.gen
10 Trojan-Downloader.Win32.Small.cxx
11 Trojan-Downloader.Win32.Tiny.bm
12 IM-Worm.Win32.Sohanad.e
13 Trojan-Downloader.Win32.Obfuscated.ba
14 Email-Worm.Win32.Warezov.dn
15 Email-Worm.Win32.Glowa.n
16 Trojan-Downloader.Win32.Tiny.bw
17 Trojan.Win32.Conycspa.i
18 Trojan-Clicker.Win32.Agent.hz
19 Trojan-Downloader.Win32.Obfuscated.n
20 Trojan-Proxy.Win32.Small.bo
За прошедшие два дня:
обнаружено вредоносных программ: 3275
уникальных разновидностей: 1013
Особенности и тенденции
За последнии сутки фиксируется повышенная активность почтового червя Email-Worm.Win32.Warezov после относительного затишья, которое длилось несколько дней.
Червь, угрожающий пользователям Skype, оказался трояном
http://img150.**************/img150/8583/snap2cn7.jpg
В понедельник, 18 декабря в блоге компании Websense Security Labs появилось предварительное уведомление о новой вредоносной программе, распространяющейся через популярную сеть IP-телефонии Skype.
Специалисты Websense отмечали, что червь способен инфицировать компьютеры пользователей Skype, общающихся в режиме чата. При этом сначала пользователю якобы приходит сообщение с предложением загрузить исполняемый файл с именем sp.exe. После запуска вредоносная программа, согласно уведомлению Websense, устанавливала на ПК троянский модуль, ворующий пароли, и затем активировала процедуры самораспространения. Эксперты Websense подчеркивали, что большинство инфицированных червем компьютеров находятся на территории Азиатско-Тихоокеанского региона, преимущественно, в Корее.
Однако в ходе более детального изучения кода программы было установлено, что она не способна размножаться самостоятельно и представляет собой обыкновенный троян. Кстати, специалисты F-Secure сразу после появления сообщений о вредоносном коде усомнились в том, что он разрабатывался специально в расчете на сеть Skype.
Не так давно компания Skype выпустила обновленные версии клиентских программ для операционных систем Windows и Windows Mobile. Кроме того, компания объявила, что со следующего года будет введена плата за звонки с компьютеров на мобильные и стационарные телефоны на территории Соединенных Штатов и Канады. В настоящее время сеть Skype насчитывает порядка 140 миллионов зарегистрированных пользователей. Ежедневно к службе присоединяются до 250 тысяч человек.
TOP 20 вредоносных программ на 24.12.2006
24.12.2006 TOP 20 по количеству обнаружений за последние два дня
1 Trojan-Downloader.Win32.Small.dam
2 Trojan-Downloader.Win32.Busky.gen
3 IM-Worm.Win32.Qucan.h
4 Trojan-Downloader.Win32.Zlob.bhw
5 IM-Worm.Win32.Qucan.n
6 Trojan.Win32.DNSChanger.hj
7 Trojan.Win32.Zapchast.cp
8 Trojan-Downloader.Win32.Tiny.et
9 Trojan.Win32.DNSChanger.gi
10 Trojan-Downloader.Win32.Obfuscated.bc
11 Trojan-Downloader.Win32.Zlob.bhk
12 Trojan-Downloader.Win32.Busky.r
13 Trojan-Downloader.Win32.Small.cib
14 Trojan-Downloader.Win32.Small.cxx
15 Trojan-Downloader.Win32.Zlob.bef
16 Trojan-Downloader.Win32.Zlob.bfi
17 Trojan-Downloader.Win32.Agent.bdb
18 Backdoor.Win32.Padodor.ax
19 Trojan-Downloader.Win32.Zlob.bfw
20 Trojan-Proxy.Win32.Dlena.bf
TOP 20 по количеству обнаруженных модификаций за последние два дня
1 Trojan-Downloader.Win32.Busky.gen
2 Trojan-Downloader.Win32.Small.dam
3 Trojan-Downloader.Win32.Tiny.et
4 Trojan.Win32.DNSChanger.gi
5 Trojan.Win32.DNSChanger.hj
6 Email-Worm.Win32.Scano.bf
7 Dialer.Win32.CapreDeam.p
8 Trojan.Win32.DNSChanger.gp
9 Trojan-Proxy.Win32.Lager.eq
10 Dialer.Win32.GBDialer.i
11 Dialer.Win32.Agent.ao
12 Trojan-Downloader.Win32.Small.edb
13 Trojan.Win32.Diamin.go
14 Dialer.Win32.InstantAccess.ai
15 Trojan-Downloader.Win32.Zlob.bhk
16 Dialer.Win32.InstantAccess.aj
17 Trojan-Dropper.Win32.Delf.aal
18 Trojan-Downloader.Win32.Zlob.axx
19 Trojan-Downloader.Win32.Zlob.bef
20 Trojan-Downloader.Win32.Zlob.sd
TOP 20 по количеству обнаружений за месяц
1 IM-Worm.Win32.Qucan.h
2 Trojan-Downloader.Win32.Small.dam
3 Email-Worm.Win32.Warezov.fb
4 Trojan-Downloader.Win32.Tiny.et
5 Email-Worm.Win32.Warezov.hb
6 IM-Worm.Win32.Qucan.a
7 Trojan-Downloader.Win32.Busky.gen
8 IM-Worm.Win32.Qucan.n
9 Trojan-Downloader.Win32.Small.cxx
10 IM-Worm.Win32.Sohanad.e
11 Trojan-Downloader.Win32.Tiny.bm
12 Trojan-Downloader.Win32.Obfuscated.ba
13 Email-Worm.Win32.Warezov.dn
14 Email-Worm.Win32.Banwarum.f
15 Email-Worm.Win32.Glowa.n
16 Trojan.Win32.Conycspa.i
17 Trojan-Clicker.Win32.Agent.hz
18 Trojan-Downloader.Win32.Obfuscated.n
19 Trojan-Proxy.Win32.Small.bo
20 Trojan-Downloader.Win32.Tiny.bw
За прошедшие два дня:
обнаружено вредоносных программ: 2422
уникальных разновидностей: 758
Продолжу тему!
Я думаю что нет смысла описывать Trojan-Downloader так как, почти все пользователи когда нибудь, да встречались с этим трояном... Все выще перечисленные модификации Trojan-Downloader уже давно детектются антивирусами Kaspersky, DrWEb, BiDefender, Avira. Насчет NOD'A 32 я не уверен, скорее всего детектются, но даже если нет, то эвристика нода должна с ними справитсья :)
Переходим дальше...
Описание трояна Qucan
Имя: Tr/Dldr.Qucan
Обнаружен: 02/10/2006
Вид: Троянская программа
В реальных условиях: Да
Отмеченные факты заражения: Низкий
Потенциал распространения: Низкий
Потенциал повреждений: От низкого до среднего
Файл статистики: Да
Размер файла: 9.216 байт.
Метод распространения:
• Нет собственной процедуры распространения
Псевдонимы (аliases):
• Kaspersky: IM-Worm.Win32.Qucan.a
• Eset: Win32/KillAV.NBD
• Bitdefender: Win32.Worm.IM.Sohanat.A
Ранее были обнаружены как:
• Worm/Qucan
Операционные системы:
• Windows 95
• Windows 98
• Windows 98 SE
• Windows NT
• Windows ME
• Windows 2000
• Windows XP
• Windows 2003
Последствия:
• Отключение приложений безопасности
• Загружает вредоносные файлы
• Изменение реестра
Как видно, он уже детектится Kaspersky'м, Nod'oм и Bitdefender, Avir'ой и также должен детектится DrWeb!
Едем дальше...
Описание Zapchas
Имя: TR/Zapchas
Обнаружен: 17/11/2005
Вид: Троянская программа
В реальных условиях: Нет
Отмеченные факты заражения: Низкий
Потенциал распространения: Низкий
Потенциал повреждений: От низкого до среднего
Файл статистики: Да
Размер файла: 912.374 байт.
Общее
Метод распространения:
• Нет собственной процедуры распространения
Псевдонимы (аliases):
• F-Secure: Backdoor.IRC.Zapchast
• Sophos: Troj/Zapchas-CN
• Grisoft: IRC/BackDoor.Flood
Операционные системы:
• Windows 98
• Windows 98 SE
• Windows NT
• Windows ME
• Windows 2000
• Windows XP
• Windows 2003
Последствия:
• Создает файлы
• Создает вредоносные файлы
• Изменение реестра
Вирус точно детектится Avir'ой, BitDefender, Sophos, Kaspersky и DrWeb. Насколько известно, AVG и NOD находят не все модификации этого антивируса.
Next...
Троян Lager
Описание
Имя: TR/Lager
Обнаружен: 14/02/2006
Вид: Троянская программа
В реальных условиях: Нет
Отмеченные факты заражения: Низкий
Потенциал распространения: Низкий
Потенциал повреждений: От низкого до среднего
Файл статистики: Да
Размер файла: 48.164 байт.
Метод распространения:
• Нет собственной процедуры распространения
Псевдонимы (аliases):
• Kaspersky: Trojan-Proxy.Win32.Lager.ah
• TrendMicro: TROJ_GALAPOPER.T
• VirusBuster: virus Trojan.PR.Lager.Y
• Bitdefender: Trojan.Spy.Agent.CN
Операционные системы:
• Windows 95
• Windows 98
• Windows 98 SE
• Windows NT
• Windows ME
• Windows 2000
• Windows XP
• Windows 2003
Последствия:
• Загружает вродоносный файл
• Создает файлы
• Изменение реестра
Как видно выше детектится Касперским, Bitdefedner и другими.
DrWEb должен детектить, Avira тоже и NOD, но не все модификации.
На сегодня все. =)
Если выше написано, что ваш антивирус находит этого зверя, то не будьте уверены на 100 % так, как каждый день появляются новые модификации вирусов... и 100% защити не существует!
TOP 20 вредоносных программ на 30.12.2006
30.12.2006
TOP 20 по количеству обнаружений за последние два дня
1 Trojan-Downloader.Win32.Small.dam
2 Trojan-Downloader.Win32.Tibs.jy
3 Trojan-Downloader.Win32.Small.edz
4 Trojan-Proxy.Win32.Small.bo
5 Dialer.Win32.GBDialer.i
6 Trojan-Downloader.Win32.Small.cxx
7 AdvWare.Win32.WebSearch.bf
8 Dialer.Win32.PluginAccess.s
9 Trojan-Downloader.Win32.Small.edn
10 IM-Worm.Win32.Qucan.n
11 Trojan-Downloader.Win32.Zlob.bed
12 AdvWare.Win32.PluginDL.a
13 Email-Worm.Win32.Bagle.gt
14 Trojan-Downloader.Win32.Zlob.biv
15 Trojan-Downloader.Win32.Agent.bdb
16 Trojan-Downloader.Win32.Zlob.biq
17 Trojan-Downloader.Win32.Zlob.bis
18 Trojan-Dropper.Win32.Agent.ol
19 Dialer.Win32.CapreDeam.p
20 Trojan-Downloader.Win32.Obfuscated.n
TOP 20 по количеству обнаруженных модификаций за последние два дня
1 Trojan-Downloader.Win32.Small.dam
2 Trojan-Downloader.Win32.Tibs.jy
3 Dialer.Win32.GBDialer.i
4 Dialer.Win32.PluginAccess.s
5 Dialer.Win32.CapreDeam.p
6 Dialer.Win32.Agent.ao
7 Trojan-Downloader.Win32.Obfuscated.n
8 Trojan.Win32.DNSChanger.hj
9 Trojan.Win32.Diamin.go
10 Dialer.Win32.EgroupDial.x
11 Trojan-Downloader.Win32.Adload.fk
12 Trojan-Proxy.Win32.Horst.te
13 Trojan-Downloader.Win32.Adload.fy
14 Trojan-Downloader.Win32.Small.awa
15 Trojan-Downloader.Win32.Zlob.bed
16 AdvWare.Win32.Trymedia.b
17 Trojan-Downloader.Win32.Zlob.biq
18 Trojan-Dropper.Win32.Agent.azn
19 Backdoor.Win32.Agent.fo
20 Backdoor.Win32.Tiny.t
TOP 20 по количеству обнаружений за месяц
1 Trojan-Downloader.Win32.Small.dam
2 IM-Worm.Win32.Qucan.h
3 Email-Worm.Win32.Warezov.fb
4 Trojan-Downloader.Win32.Tiny.et
5 Trojan-Downloader.Win32.Busky.gen
6 Trojan-Downloader.Win32.Small.cxx
7 IM-Worm.Win32.Qucan.n
8 Trojan-Downloader.Win32.Obfuscated.ba
9 Trojan-Downloader.Win32.Tiny.bm
10 Email-Worm.Win32.Warezov.dn
11 IM-Worm.Win32.Qucan.a
12 Trojan.Win32.Conycspa.i
13 Email-Worm.Win32.Warezov.hb
14 Trojan-Proxy.Win32.Small.bo
15 Trojan-Downloader.Win32.Small.edn
16 Trojan-Clicker.Win32.Agent.hz
17 Email-Worm.Win32.Glowa.n
18 Trojan-Downloader.Win32.Obfuscated.n
19 IM-Worm.Win32.Sohanad.e
20 Email-Worm.Win32.Banwarum.f
За прошедшие два дня:
обнаружено вредоносных программ: 2436
уникальных разновидностей: 995
Особенности:
Наблюдается всплеск активности Trojan-Downloader.Win32.Tibs.jy и Trojan-Downloader.Win32.Small.edz, они расылаются по электронной почте. Опасность подобных зловредов возрастает в связи с тем, что перед праздниками многие пользователи снижают бдительность и открывают файлы с именами типа "postcard.exe" или ""greeting card.exe", считая их поздравительными открытками.
Опасный троянец распространяется под видом новогодней открытки!
http://img150.**************/img150/8583/snap2cn7.jpg
Служба вирусного мониторинга компании «Доктор Веб» сообщает о появлении в Сети и массовом распространении посредством электронной почты вредоносной программы, получившей наименование по классификации Dr.Web Trojan.DownLoader.16958. Данная программа разослана с помощью массовой спам-рассылки под видом поздравления с Новым годом.
Технические подробности:
Тема: postcard
Тело письма:
Hi, you've just received a postcard.
For: <реальный адрес получателя>
From: ---
Text: Happy New Year!
Postcard:
Сlick on attachment to view a postcard
---
Pre-holidays Postcards.
http://postcards.wired2000.net/
Вложение представляет собой ZIP-архив, содержащий файл postcard.exe.
По данным Службы вирусного мониторинга компании «Доктор Веб», присутствие этой троянской программы обнаружено в примерно 54% зараженного почтового трафика русскоязычного сектора сети Интернет. Немного позднее было выпущено ещё два варианта этого троянца, получивших наименования Trojan.DownLoader.16984 и Trojan.DownLoader.16985. Данные троянцы, будучи запущенными на исполнение неосторожным пользователем, устанавливают на компьютер ставший уже печально известным почтовый червь массовой рассылки Win32.HLLM.Limar. Таким образом, можно констатировать тот факт, что авторы Win32.HLLM.Limar лишь сменили метод распространения своего «детища», в очередной раз делая ставку на «человеческий фактор» - интерес к подарку, который скрывается в красивой новогодней упаковке.
Хотелось бы отметить, что антивирус Dr.Web в очередной раз показал свой высокий класс в распознавании вредоносных программ – данные троянцы детектировались эвристическим анализатором (DLOADER.Trojan) ещё до внесения записей о них в вирусные базы.
Компания «Доктор Веб» призывает пользователей не открывать письма, пришедшие от неизвестных адресатов и, тем более, не открывать вложения, прикреплённые к таким письмам.
Email-Worm.Win32.Warezov
http://images.kaspersky.com/ru/vldesign/logo_bot.gif
16.01.2007 16:10, GMT +0300, Москва
Статус : информационный
«Лаборатория Касперского» сообщает о перехвате массовых рассылок новых версий Email-Worm.Win32.Warezov, начавшихся 15 января 2007 года.
Каждая новая рассылка содержит в себе новую версию этой вредоносной программы. Все варианты похожи друг на друга и распространяются в качестве вложений в зараженные электронные письма. После своего запуска, они пытаются остановить запущенные на компьютере антивирусы и межсетевые экраны и загрузить из интернета другие вредоносные программы.
Все последние перехваченные варианты были добавлены в антивирусные базы Антивируса Касперского.
Пользователям Антивируса Касперского 6.0 рекомендуется активизировать модуль проактивной защиты, способный детектировать новые версии Warezov без необходимости обновления антивирусных баз.
Более подробная информация о функционале новых версий этой вредоносной программы будет доступна в ближайшее время.
http://www.viruslist.com/ru/index.html
Опасный троянец маскируется под видеоролики о важнейших мировых событиях
http://img150.**************/img150/8583/snap2cn7.jpg
21 января 2007 года
Служба вирусного мониторинга компании «Доктор Веб» сообщает о довольно быстром увеличении присутствия в почтовом трафике спам-сообщений, несущих в качестве вложения троянскую программу Trojan.Spambot (по классификации Dr.Web). Данный троянец является фактически копией другой аналогичной вредоносной программы - BackDoor.Groan - с несколько измененнным упаковщиком. На 23-00 20 января письма, имеющие во вложении BackDoor.Groan, составляли 87% всего инфицированного почтового трафика.
Огромное количество экземпляров троянца в интернете объясняется массированными спам-рассылками, организованными по всему миру. При этом замысел его создателей весьма прост - привлечь внимание пользователей и вызвать их естественное любопытство броским заголовком, сообщающим о каком-либо весьма актуальном событии в мировой политике. Текст в сообщении при этом отсутствует, таким образом, пользователь, не искушенный в вопросах безопасности, сразу переходит к "основной теме" - то есть, запускает опасное вложение - исполняемый файл -одним щелчком мыши.
Будучи запущенным, программа сбрасывает в системный каталог Windows и устанавливает в системе драйвер (имя файла - wincom32.sys, соответствующая запись создается в системном реестре), который может в дальнейшем закачивать другие вредоносные программы, оставаясь при этом невидимым для менеджера задач.
Письма, которые приходят с вложением, содержащим данную разновидность троянца Trojan.Spambot, могут иметь следующие заголовки:
Russian missle shot down Chinese satellite
Russian missle shot down USA satellite
The Supreme Court has been attacked by terrorists. Sen. Mark Dayton dead!
Fidel Castro dead!
Имена исполняемых файлов, которые были зафиксированы Службой вирусного мониторинга «Доктор Веб» применительно к этим спам-рассылкам, были следующими:
Full video.exe
Full clip.exe
Full news.exe
Full story.exe
Video.exe
Специалисты компании «Доктор Веб» еще раз предостерегают всех пользователей от излишнего любопытства при получении писем с вложениями от неизвестных адресатов. В ближайшие дни вполне возможно нарастание присутствия в сети данной троянской программы вследствие продолжения спам-рассылок инфицированных сообщений, с различными вариациями заголовок писем, а также имен прилагаемых файлов.
Советы по защите от фишинга от PandaLabs
http://legal-soft.org/images/articles/PandaLabs.jpg
Антивирусная лаборатория PandaLabs опубликовала список советов для всех пользователей, которые совершают покупки через интернет и выполняют другие финансовые операции.
Кража банковских данных – фишинг – является одним из самых популярных нынче типов мошенничества. Как правило, кража данных происходит следующим образом: пользователь получает сообщение по электронной почте, которое содержит ссылку на специальный вредоносный сайт. Подобные сайты часто делают похожими на сайты настоящих банков, чтобы пользователи не догадались, что перед ними подделка.
Специалисты PandaLabs рекомендуют никогда не обращать внимания на сообщения, полученные якобы от банка, в которых запрашиваются какие-либо пароли, поскольку банк никогда не станет рассылать такие письма.
Когда вы находитесь на странице, где нужно ввести какие-либо данные, нужно проверить, действительно ли веб-страница, на которой вы находитесь, принадлежит банку, который вы хотите посетить. Домен страницы должен полностью совпадать с доменом банка. Кроме этого, соединение должно быть защищенным - в строке состояния браузера должен отобразиться небольшой закрытый замок, а веб-адрес должен начинаться с https://. Если остаются сомнения, убедитесь, что сертификат веб-страницы действителен, дважды щелкнув по замку.
Еще один способ убедиться в том, что вы установили безопасное соединение с реальным веб-сайтом компании: ручной набор полного веб-адрес банка в браузере. Не заходите на эту страницу, щелкая по ссылкам, они могут вести на мошеннические сайты.
Наконец, нужно периодически проверять банковскую статистику, чтобы убедиться в отсутствии каких-либо неверных транзакций с вашего счета. Если вы увидели в своей статистике какие-то непонятные операции, рекомендуем связаться с банком, через который были совершены транзакции, чтобы получить о них более подробную информацию.
T_a_N_a_T
03.03.2007, 02:45
Исследовательская лаборатория TrendLabs компании Trend Micro сообщает о черве WORM_ZHELATIN.CH, жертвой которого становятся пользователи крупных почтовых провайдеров, таких как AOL, Gmail, Yahoo!, Hotmail, EarthLink, Mail.Ru, а также популярных российских ресурсов Mail.Ru и Rambler.
WORM_ZHELATIN.CH – разновидность червя из семейства Zhelatin. Чаще всего червь появляется в системе из файла, прикрепленного к письму, иногда – загружается по ссылке из программ обмена мгновенными сообщениями.
Заражение компьютера происходит следующим образом: после приведения червя в действие в системе появляется троянская программа, которая в свою очередь запускает файл .DLL. Когда компьютер подсоединеняется к сети, этот файл регистрируется в качестве системного драйвера Layered Service Provider (LSP) и вписывается в Windows TCP или обработчик IP в качестве связующего звена в цепочке. С помощью этих действий WORM_ZHELATIN.CH перехватывает сетевой трафик и направляет пользователя на «нужный» веб-сайт. Кроме этого, данный червь загружает со специального сайта текст сообщений для рассылки по электронной почте.
Некоторое время назад уже появлялись сообщения о различных разновидностях семейства Zhelatin. Так, в начале февраля были массовые рассылки WORM_ZHELATIN.o. Тот червь заражал исполняемые exe-файлы и файлы экранных заставок (.scr), найденные в системе, и тоже распространялся в виде вложений.
Инструмент фильтрации интернет-адресов Trend Micro успешно блокирует зловредные ссылки, относящиеся к этому виду вредоносного ПО, однако специалисты TrendLabs рекомендуют пользователям настороженно относиться к письмам от неизвестных отправителей и не заходить по подозрительным ссылкам, даже если они получены от знакомых.
T_a_N_a_T
03.03.2007, 20:14
В феврале самыми активными вирусами в Интернете были Worm.Win32.NetSky.t и Worm.Win32.Bagle.gt, сообщает HiTech.Expert "Лаборатория Касперского".
Лидером стал вирус, занимавший в январе 4 место, Worm.Win32.NetSky.t, переместив январского лидера Worm.Win32.Bagle.gt на второе место. Они заняли 15,82% и 11,85% соответственно в общем объеме распространенных в феврале вирусных программ.
Аналитики отметили высокую активность нового семейства вредоносных программ Zhelatin в феврале, которая привела к большим изменениям в февральской двадцатке наиболее распространенных вредоносных программ. В частности, из 9 новичков рейтинга 6 представляют Zhelatin.
3-е место занял новый "червь" Worm.Win32.Zhelatin.dam с долей 8,19%, переместив Worm.Win32.NetSky.аа с долей 3,27% на 7 место. Занимавший 2 место в январе Worm.Win32.NetSky.q опустился на 4 место с долей 7,92%. 5 и 6 места заняли новые вирусы Worm.Win32.Zhelatin.o и Worm.Win32.Warezov.ls с долями в общем объеме распространенных в феврале вирусных программ 6,83% и 5,03% соответственно. Worm.Win32.Zhelatin.o переместил вирус Worm.Win32.Bagle.gеn на 19 место с долей 1,26%, а Worm.Win32.Warezov.ls вообще вытеснил из февральской двадцатки Win32.Small.dam.
Помимо большого количества новичков, аналитики также отметили вернувшихся из небытия в двадцатку лидеров Worm.Win32.Nyxem.e (15 место, доля - 1,66%), Worm.Win32.Scano.gen (14 место, доля - 1,83%) и Worm.Win32.NetSky.b (16 место, доля - 1,59%).
Также они отмечают значительный процент прочих вредоносных программ от общего числа перехваченных - 12,86%, что указывает на большое количество прочих "червей" и "троянских программ", относящихся к другим семействам.
В феврале программа Analog closk при синфронизации с сервером точного времени принесла червя Worm.Win32 поймать не удалось пришлось сносить систему Будьте осторожны у меня стоял Avast 4 7
T_a_N_a_T
13.03.2007, 22:09
Троян ShotOne становится причиной целого ряда проблем. С модификациями реестра Windows, этот троян может блокировать обновления Windows и доступ к пункту меню Файл в Internet Explorer или Windows Explorer. Кроме того, он прячет содержимое папок "Мои документы" и "Мой компьютер".
Среди других вредоносных действий данного трояна - отключение на панели задач меню, вызываемого правой кнопкой мыши, и кнопки "Пуск", скрытие значков в области уведомления и отключение опций "Запуск" и "Поиск" в меню "Пуск". Троян запускается вместе с загрузкой системы. При запуске он выбрасывает целую серию окон. Более того, троян перезагружает включенный компьютер, зараженный им, каждые три часа.
Троян Yabarasu, который запускается при загрузке системы. Yabarasu копирует себя в зараженную систему. Он прячет расширения всех файлов и всплывающие подсказки (информационные окна, которые появляются в Windows при наведении курсора на файл). Yabarasu также прячет папки на диске C, а вместо них размещает свои копии с идентичным названием и значком. При запуске подобного файла, пользователь фактически запускает трояна. И ShotOne, и Yabarasu попадают на компьютеры через электронную почту, файловые загрузки, зараженные запоминающие устройства и др.
На этой неделе PandaLabs зарегистрировала несколько вариантов червей семейства Rinbot: Rinbot.B, Rinbot.F, Rinbot.G и Rinbot.H. Эти черви распространяются копируя самих себя на съемные носители и сетевые ресурсы совместного пользования. Они также записывают свои копии на USB-устройства (MP3-плейеры, карты памяти, и т.п.), подключаемые к компьютеру. Некоторые из разновидностей используют для распространения уязвимости. Rinbot.B, например, пользуется уязвимостями LSASS и RPC DCOM. Недавно появились патчи для устранения этих брешей безопасности.
Rinbot.G использует брешь SQL Server и проходит идентификацию как пользователь. Как только червь попадает в компьютер, он через FTP загружает свою копию. А затем запускается в системе. Rinbot.H также использует для своего распространения уязвимость. Он ищет серверы с уязвимостью MS01-032, которую можно устранить с помощью одноименного патча от Microsoft. Черви семейства Rinbot предназначены для открытия порта в зараженном компьютере и установления подключения к серверу IRC. Благодаря этому, хакер может удаленно контролировать компьютер.
Кроме того, червь загружает из интернета трояна под названием Spammer.ZV, который начинает рассылать спам по всем адресам, найденным на зараженном компьютере. И, в конечном счете, он изменяет настройки безопасности и системные разрешения Internet Explorer, что снижает уровень безопасности компьютера. Интересной отличительной чертой кода Rinbot.B стало то, что в его состав входит запись, которая была сделана, по его утверждению, во время интервью CNN с создателями данного семейства червей, где последние объясняют причины, побудившие их к творению.
Expiro.А. поражает исполняемые файлы (.exe) в папке и подпапках Program Files. Свою копию он также оставляет в директории Windows. Когда пользователь запускает зараженный файл, вместе с ним запускается и вирус. Этот прием применяется для того, чтобы пользователи не заметили никаких видимых признаков инфицирования. Expiro.A завершает все свои процессы, если у него появляется подозрение, что компьютер сканируется с помощью решения безопасности. Несколько разделов данного вредоносного кода зашифрованы для того, чтобы его было сложнее обнаружить.
03.03.2007
Trojan.Win32.StartPage.anh
Видимые проявления: Подмена стартовой страницы на http://www.infocontainer.com
Троянская программа, размер исполняемого файла 14848 байт, исполняемый файл не сжат и не зашифрован. В случае запуска скрытно модифицирует стартовую страницу Internet Explorer путем записи в параметр "Start Page" ключа реестра Software\Microsoft\Internet Explorer\Main значения http://www.infocontainer.com. После выполнения данной операции троянская программа завершает работу
================================================== ======
28.03.2007
Trojan.Win32.Small.kt
Видимые проявления: Посторонняя библиотека swmclip.dll
Троянская библиотека, размер 4 кб, не сжата и не зашифрована, известна под именем swmclip.dll. В теле библиотеки видны текстовые константы «Передать WM», «с протекцией сделки» и номера кошельков злоумышленника.
В момент инициализации библиотека создает поток. Поток выполняет поиск окна с заголовком «Передать WM» и кнопкой внутри. В случае его обнаружения производится открытие буфера обмена и считывание содержащихся в нем данных. Если содержимое буфера обмена начинается с буквы R, Z или E, то в буфер обмена записывается номер R, Z или E кошелька злоумышленника. После этого поток приостанавливает свою работу на 60 мс, после чего процесс повторяется.
================================================== =======
07.05.2007
Trojan.Win32.VB.atg
Троянская программа, написана на Basic, исполняемый файл известен под именем tel.xls.exe. Иконка файла визуально очень похожа на иконку документа Excel, что в сочетании двойным расширением «xls» должно вводить пользователя в заблуждение. Файл не сжат и не зашифрован, размер 45 кб.
В случае запуска скрытно выполняет следующие действия:
1. Создает файлы WINDOWS\system32\SocksA.exe, WINDOWS\system32\FileKan.exe, WINDOWS\svchost.exe, WINDOWS\Session.exe. Эти файлы содержат копию трояна. Кроме того, создается файл WINDOWS\BACKINF.TAB, по структуре являющийся файлом AUTORUN.INF с содержимым вида:
[AutoRun]
open=tel.xls.exe
shellexecute=tel.xls.exe
shell\Auto\command=tel.xls.exe
shell=Auto
2. Регистрирует SocksA.exe в автозапуске через ключ Run реестра
3. Запускает файл WINDOWS\svchost.exe
4. Вызывает проводник – командная строка имеет вид «explorer C:\» , после чего завершает работу
5. Троянский процесс svchost.exe выполняет в цикле операцию 1 из вышеописанного алгоритма и создает в корне диска файлы tel.xls.exe (атрибуты «скрытый», «системный») и AUTORUN.INF (атрибуты «скрытый» и «системный»). Файл AUTORUN.INF ссылается на tel.xls.exe и применяется для автозапуска трояна. Данная операция повторяется с задержкой примерно 5 секунд и применяется в качестве меры защиты от удаления. Кроме того, в трояне предусмотрена модификация параметра CheckedValue ключа реестра SOFTWARE\Microsoft\ Windows\CurrentVersion\Explorer\ Advanced\Folder\Hidden\SHOWALL. По умолчанию это значение имеет тип REG_DWORD и значение 1. Троян содержит программный код для работы с базой UFSYSTEM.
lastmylove
15.07.2007, 22:41
Источник: Sophos.com (Sophos.com), cnews.ru (cnews.ru)
lastmylove
15.07.2007, 22:42
Troj/Proxy-HV
Признаки
При первом запуске копирует себя в системную директорию Windows под именем ntos.exe.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit = "%System%\userinit.exe,%System%\ntos.exe"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Загружает из интернета и выполняет другой вредоносный код;
Автоматически загружается после запуска Windows.
Открывает на компьютере "чёрный ход"
Тип:
Троян
Операционная система:
Windows
Уровень:
низкий
lastmylove
15.07.2007, 22:43
Softomate
Признаки
Устанавливается в директории %Program Files%\GameAbyss Toolbar\.
Копирует в указанную директорию следующие файлы:
basis.xml
demo_logo.bmp
error.html
gameabyssnet.dll
nav.bmp
options.html
toolbar.crc
version.txt
Файл gameabyssnet.dll регистрируется как COM-объект, плагин, панель инструментов (toolbar) и Вспомогательный объект браузера (Browser Helper Object) Microsoft Internet Explorer.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Работает с браузером Microsoft Internet Explorer: устанавливает панель (toolbar), модифицирует настройки, отображает всплывающие окна с рекламой, связывается с удалённым сервером.
Тип:
Adware
Операционная система:
Windows
Уровень:
низкий
lastmylove
15.07.2007, 22:45
W32/Rbot-GSD
Признаки
Распространяется, используя критические уязвимости, не требующие для эксплуатации вмешательства пользователя: LSASS (MS04-011), RPC-DCOM (MS04-012), WKS (MS03-049) (CAN-2003-0812), MSSQL (MS02-039) (CAN-2002-0649), RealCast.
Копирует себя на сетевые диски, защищённые слабыми паролями на запись.
Подключается к IRC-серверу, чей адрес записан в коде, и ожидает команд на одном из каналов.
При запуске копирует себя в системную директорию Windows под именем scrov.exe и создаёт в корневой директории файл a.bat.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Распространяется копированием себя на сетевые диски, в том числе - защищённые слабыми паролями на доступ, а также при помощи уязвимостей, не требующих для эксплуатации вмешательства пользователя.
Устанавливает связь с атакующим через канал IRC-сервера, может принимать и выполнять команды.
Тип:
Троян
Операционная система:
Windows
Уровень:
низкий
lastmylove
16.07.2007, 21:56
W32/Vanebot-AZ
Червь
Операционная система:
Windows
Уровень:
низкий
Признаки
При первом запуске копирует себя в системную директорию Windows (%System%) под именем lssas.exe (созвучно с существующим в системе файлом lsass.exe).
Записывает ссылку на себя в раздел реестра, отвечающий за автозапуск проиложений при старте системы:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \"Local Security Authority Service" = "%System%\lssas.exe"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает на компьютере "чёрный ход", подключаясь к каналу на IRC-сервере; может выполнять команды атакующего, в частности, загружать и выполнять другой вредоносный код.
lastmylove
16.07.2007, 21:57
Trojan.Retvorp
Троян
Операционная система:
Windows
Уровень:
низкий
Размер:
168.964 байт
Признаки
При запуске создаёт файл %System%\drivers\mxdispdr.sys.
Извлекает из себя DLL-файл и сохраняет его как %System%\msplrct.dll; встраивает его загрузку в процесс winlogon.exe, модифицируя его.
Пытается завершить процессы:
httplook.exe
wireshark.exe
windump.exe
ehsniffer.exe
ethread.exe
netxray.exe
iris.exe
Пытается связаться с сайтами для загрузки и выполнения дополнительных файлов.
Сайты: www.provter.com и www.msthott.com.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Создаёт на диске библиотеку (DLL) и внедряет её в процесс winlogon.exe.
Пытается загружать из интернета другой вредоносный код.
lastmylove
16.07.2007, 21:59
W32.Atnas.A
Червь
Операционная система:
Windows
Уровень:
низкий
Размер:
188.390 байт
При запуске создаёт свои копии в системной директории Windows:
%Windir%\System32\snd32_win.exe
%Windir%\System32\winlib32.exe
%Windir%\System32\[СТРОКА_1][СТРОКА_2].exe
[СТРОКА_1] и [СТРОКА_2] выбираются случайным образом из следующего списка:
win
reg
hook
sp32
w32
lib
mic
dos
load
cbf
dll
service
_i38
Создаёт текстовый файл со списком активных процессов:
%Windir%\System32\whandle.dll
Создаёт файлы:
%Windir%\err.msg
%Windir%\System32\santas.bitch.txt
Пытается заменить .exe файлы, относящиеся к активным процессам, на свои копии: переименовывает .exe файл и создаёт файл с таким же именем и расширением, записывая туда себя.
Также пытается заменить на себя, с переименованием оригинала, следующие файлы:
regedit.exe
msconfig.exe
taskmgr.exe
То же самое пытается проделать с исполняемыми файлами, относящимися к приложениям файлообменных сетей, антивирусов и других программ:
emule.exe
avgnt.exe
preupd.exe
avcenter.exe
bootwarn.exe
cclmscan.exe
navapsvc.exe
navapw32.exe
navstub.exe
navw32.exe
navwnt.exe
opscan.exe
qconsole.exe
savscan.exe
mcdetect.exe
multiscan.exe
zlclient.exe
zatutor.exe
spybotsd.exe
teatimer.exe
blindman.exe
update.exe
limewire.exe
uninstall.exe
Создаёт на всех локальных дисках директорию Fuck_U_Man.
Записывает ссылку на себя в разделы реестра, отвечающие за автозагрузку приложений:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Microsoft DLL Library" = "%Windir%\System32\winlib32.exe /reg"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Windows Sound Emulator" = "%Windir%\System32\snd32_win.exe /snd"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Graphics adapter service" = "%Windir%\System32\windll.exe /w"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Santa Bastards Bitch" = "%Windir%\System32\SANTAS.BITCH.txt"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"Microsoft DLL Library" = "%Windir%\System32\winlib32.exe /reg"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"Windows Sound Emulator" = "%Windir%\System32\snd32_win.exe /snd"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"Graphics adapter service" = "%Windir%\System32\windll.exe /w"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"Santa Bastards Bitch" = "%Windir%\System32\SANTAS.BITCH.txt"
Создаёт множество своих копий в директориях совместного использования файлообменных сетей под следующими именами:
321 Studios GamesXCopy 1.0.8 Crack.exe
Ad-aware Pro Crack.exe
Adobe Acrobat Reader crack.exe
Adobe Golive v6.0 Keygen.exe
Adobe Illustrator v10.0 Time Limit Crack.exe
Adobe ImageReady v1.0 crack.exe
Adobe PageMaker v7.0 Keygen.exe
Adobe Photoshop 7 Crack.exe
Adobe Photoshop 7 Cracked.exe
Adobe Photoshop 7 Keygen.exe
Adobe Photoshop 7 Setup.exe
Adobe Photoshop 7.exe
Adobe Photoshop all.exe
Adobe Serial Generator v2.0.exe
Age of Empires II The Age of Kings NO CD crack.exe
Age Of Mythology - The Titans no cd crack.exe
Age Of Mythology no cd crack.exe
Aim Hacker.exe
Aim Password Cracker.exe
Alias Acclaim crack.exe
All Macromedia Products Keygen.exe
Anti-Trojan 4.0.exe
Aol Hacker.exe
Aol Password Cracker.exe
ArtMoney SE v7.05.exe
Artys Flash Ripper Cracked.exe
Avant Browser.exe
Backyard Baseball 2003 no cd crack.exe
Backyard Wrestling 2 - There Goes the Neighborhood Eidos Interactive rack.exe
Battlefield 1942 no cd crack.exe
Battlefield Vietnam EA Games crack.exe
Battlefield Vietnam Multiplayer Online Crack.exe
Besieger Strategy DreamCatcher Interactive crack.exe
Blinx 2 - Masters of Time & Space Microsoft crack.exe
Blitzkrieg - Burning Horizon Strategy CDV Software GmbH crack.exe
Britney Spears Dance Beat.exe
Call of Duty Activision crack.exe
Call Of Duty no cd crack.exe
Cheat Engine 5.0.exe
City of Heroes Role-Playing NCsoft crack.exe
Civilization III crack.exe
Classic NES Series - The Legend of Zelda GBA Role-Playing Nintendo crack.exe
CloneDVD v1.x crack.exe
Command & Conquer - Generals no cd crack.exe
Command & Conquer - Generals Zero Hour no cd crack.exe
Command & Conquer - Generals Zero Hour Strategy EA Games crack.exe
Counter-Strike Condition Zero Keygen.exe
Credit card generator.exe
Crusader Kings Strategy Paradox Entertainment crack.exe
Cubase Audio XT 3.X crack.exe
Dark Age Of Camelot - Trials Of Atlantis no cd crack.exe
Dark Matter - The Baryon Proj crack.exe
Deus Ex Invisible War NO CD Crack.exe
Diablo 2 NO CD crack.exe
DivX Player and Codec.exe
Doom 3 Activision crack.exe
DOOM 3 Crack.exe
DOOM 3 Hacks.exe
DOOM 3 Hackz.exe
Doom 3 NO CD Crack.exe
DOOM 3.exe
Download Accelerator Plus.exe
Dragon Ball Z - Budokai 3 Atari crack.exe
Dragon Ball Z - Supersonic Warriors GBA Atari crack.exe
Dragon Warrior VIII Role-Playing Square Enix crack.exe
DRIV3R Atari crack.exe
Dungeon Lords Role-Playing DreamCatcher Interactive crack.exe
Dungeon Siege no cd crack.exe
DVD Burner.exe
DVD Copy.exe
DVD Ripper Gold.exe
DVD Ripper.exe
Email Bomber.exe
Email Extractor.exe
Email Spider by Zim.exe
eMule 0.44b.exe
eMule.exe
Enter the Matrix Atari crack.exe
er and the Prisoner of Azkaban Adventure EA Games crack.exe
Harry Potter and the Sorcerers Stone no cd crack.exe
Heroes of Might & Magic IV no cd crack.exe
Hidden & Dangerous 2 NO CD Crack.exe
Hotmail Cracker.exe
Hotmail Hacker.exe
Icewind Dale 2 no cd crack.exe
ICQ 4.exe
ICQ Pro 2003b.exe
iMesh patch.exe
Irc Client.exe
J.Lo Bikini Screensaver.exe
Jedi Academy NO CD Crack.exe
Joint Operations - Typhoon Rising NovaLogic crack.exe
Juiced Acclaim crack.exe
Kingdom Hearts II Role-Playing Square Enix crack.exe
Knights Apprentice Memoricks Adventures Games crack.exe
lifefuxor.exe
Limewire Pro Crack.exe
LimeWire server scanner.exe
Macromedia ColdFusion MX crack.exe
Macromedia Contribute v2.0 crack.exe
Macromedia Director 8 Crack.exe
Macromedia Dreamweaver 4.0 Patch.exe
Macromedia Dreamweaver MX v6.0 crack.exe
Macromedia Dreamweaver UltraDev 4.0 Patch.exe
Macromedia Fireworks 4.0 Patch.exe
Macromedia Flash All Versions keygen.exe
Macromedia Flash MX v6.0 crack.exe
Macromedia Flash SWF-Unprotect v2.0.exe
Macromedia FreeHand v10 Loader.exe
Macromedia Keygen.exe
Madden NFL 2003 no cd crack.exe
Madden NFL 2005 EA crack.exe
Mafia no cd crack.exe
Malice Mud Duck Productions crack.exe
Mario Pinball Land GBA Puzzle Nintendo crack.exe
Mario Tennis GC Nintendo crack.exe
Mass Emailer.exe
Mass Mailer - by ceo.exe
Matrix Screensaver.exe
Max Payne 2 Fall Of Max Payne no cd crack.exe
Max Payne 2 NO CD Crack.exe
McFarlanes Evil Prophecy Konami crack.exe
Medal Of Honor - Allied Assault no cd crack.exe
Medal Of Honor - Allied Assault BreakThrough no cd crack.exe
Medal of Honor Pacific Assault EA Games crack.exe
Medieval - Total War no cd crack.exe
Mega Man Anniversary Collection GC Capcom crack.exe
Metal Gear Acid PSP Strategy Konami crack.exe
Metal Gear Solid 3 - Snake Eater Konami crack.exe
Microsoft Flight Simulator 2004 - A Century Of Flight no cd crack.exe
Microsoft Office 2000 Regmaker.exe
Microsoft Office XP Activation Crack.exe
Microsoft Office XP Activation Killer.exe
Microsoft Office XP Professional Crack.exe
Microsoft Office XP Professional Serial.exe
Microsoft Office XP Universal Activator v1.0.exe
Midnight Club 3 - DUB Edition Rockstar Games crack.exe
mirc 6.1x reg entries.exe
mIRC 6.X crack.exe
Morpheus patch.exe
MS Office XP Activation Crack.exe
MS Zoo Tycoon no cd crack.exe
MSN advert remover.exe
MSN Toolbar advert remover.exe
MVP Baseball 2004 EA crack.exe
NAV 2005 Crack.exe
NBA Live 2003 crack.exe
NBA Live 2004 crack.exe
NCAA Football 2005 EA crack.exe
Need For Speed 5 - no cd.exe
Need for Speed Hot Pursuit 2 CD KeyGenerator.exe
Need for speed underground - nocd.exe
Need for Speed Underground 2 crack.exe
Need for Speed Underground 2 Electronic Arts crack.exe
Need for Speed Underground 2 NO CD crack.exe
Need for Speed Underground NO CD crack.exe
Need for Speed4 - NOCD.exe
Nero Burning ROM v6.x crack.exe
Ninja Gaiden Tecmo crack.exe
Nortan Anti Virus 2005 Crack.exe
Nuker Pro 1.3.exe
Nuker.exe
Onimusha 3 - Demon Siege Adventure Capcom crack.exe
Play Games Online For FREE.exe
PortFUCK.exe
Portscanner by Jez.exe
Poser 5.exe
Poser 6 Crack.exe
Poser 6.exe
ProRat Gold.exe
PS2 Emulator by Zim.exe
PS2 Emulator.exe
PS2 Rom Extractor.exe
Psi-Ops - The Mindgate Conspiracy Midway crack.exe
Purge Jihad Freeform Interactive LLC crack.exe
Qauke.exe
Quake Arena Crack.exe
Quake Arena Keygen.exe
Quake Arena.exe
RealPlayer crack.exe
Red Dead Revolver Rockstar Games crack.exe
Resident Evil 4 GC Adventure Capcom crack.exe
Rise of Nations - Thrones & Patriots Strategy Microsoft crack.exe
RoboForm crack.exe
Roller Coaster Tycoon no cd crack.exe
Roxio Easy CD Creator 5 Crack.exe
Runescape Cracker.exe
Runescape Hacker Pro 3.1.exe
Runescape Hackz.exe
Runescape Money Hack.exe
RYL crack.exe
Second Life Role-Playing Linden Lab crack.exe
Shadow Ops - Red Mercury Atari crack.exe
ShellShock - Nam 67 Eidos Interactive crack.exe
Silent Storm - Sentinels Strategy _No Company crack.exe
Sim City 4 - Rush Hour no cd crack.exe
Sim City 4 Deluxe no cd crack.exe
Sim Theme Park World no cd crack.exe
Snood crack.exe
Snowblind Eidos Interactive crack.exe
Soldier of Fortune II- Double Helix no cd crack.exe
SolSuite 2004 - Solitaire Card Games Suite crack.exe
Sonic the Hedgehog 3 crack.exe
Spider-Man 2 Activision crack.exe
Spider-Man 2 GC Activision crack.exe
Sponge Bob Square Pants - Operation Krabby Patty no cd crack.exe
Spybot Search and Destroy.exe
Spyware Doctor Crack.exe
Star Wars - Jedi Knight - Jedi Academy no cd crack.exe
Star Wars - Knights of the Old Republic Role-Playing LucasArts crack.exe
Star Wars Galactic Battlegrounds- Clone Campaigns no cd crack.exe
Star Wars Jedi Knight II - Jedi Outcast no cd crack.exe
Starcraft - Battlechest no cd crack.exe
The Chronicles of Riddick - Escape From Butcher Bay VU Games crack.exe
The Legend of Zelda - Four Swords Adventures GC Nintendo crack.exe
The Legend of Zelda - The Minish Cap GBA Nintendo crack.exe
The Lord of the Rings The Return of The King crack.exe
The Matrix Online Crack.exe
The Matrix Online Cracked.exe
The Matrix Online.exe
The Sims no cd crack.exe
The Sims - Hot Date Expansion Pack no cd crack.exe
The Sims - Makin Magic Expansion Pack no cd crack.exe
The Sims - Superstar Expansion Pack no cd crack.exe
The Sims - Unleashed Expansion Pack no cd crack.exe
The Sims - Vacation Expansion Pack no cd crack.exe
The Sims 2 crack.exe
The Sims Deluxe no cd crack.exe
The Sims Double Deluxe no cd crack.exe
The Sims Game Crack.exe
The Suffering Encore Software Inc. crack.exe
The Suffering Midway crack.exe
Thief - Deadly Shadows Eidos Interactive crack.exe
Tiger Woods PGA Tour 2004 crack.exe
Tom Clancys Ghost Recon - Desert Siege no cd crack.exe
Tony Hawks Underground crack.exe
Trillian crasher.exe
TSearch (Undetectable).exe
Universal Game Crack.exe
Unreal Tournament 2003 no cd crack.exe
Vampire - The Masquerade - Bloodlines Role-Playing Activision crack.exe
Warcraft 3 Battle.net Crack.exe
Warcraft III - Reign Of Chaos no cd crack.exe
Warez P2P.exe
Webclaw 8 by Seven.exe
Webroot Spy Sweeper.exe
Website Hacker.exe
Website Nuker by Techo.exe
Win An Xbox.exe
Windows Hacker.exe
windows server 2003 crack.exe
Windows XP home edition Activation.exe
Winmx.exe
Winrar.exe
WinZip 9.0 Crack by Genta.exe
WinZip All Versions keygen.exe
Winzip keygen.exe
WinZip Self-Extractor v2.2 Patch.exe
WinZip v8.0 Keygen.exe
WinZip v8.x - v9.x patch.exe
WinZIP v9.0 Keygen.exe
Working Iso Burner.exe
World of Warcraft Role-Playing Blizzard Entertainment crack.exe
Worms Armageddon NO CD crack.exe
WWE Day of Reckoning GC THQ crack.exe
WWE SmackDown! vs. Raw THQ crack.exe
XBOX Emulator by zim.exe
XBOX Emulator.exe
XBOX Rom Extractor.exe
XBOX X-Fer Ripper and Transfer.exe
XXX PORN FREE!!!.exe
Yoshinoya Success crack.exe
ZoneAlarm crack.exe
Zoo Tycoon - Complete Collection no cd crack.exe
Zoo Tycoon no cd crack.exe
Zoo Tycoon- Dinosaur Digs no cd crack.exe
Проводит DoS-атаку при помощи ping против следующих сайтов:
www.flirtlife.de
www.fribad.de
www.muelhens.de
www.sir-foes.com
www10.flirtlife.de
Может попытаться удалить файлы в системной директории Windows (%Windir%\system32).
В определённые дни может попытаться отформатировать диск C.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется посредством копирования себя в файлообменные (P2P) сети; проводит атаки отказа в обслуживании (DoS).
lastmylove
16.07.2007, 22:01
W32/Akbot-AS
Червь
Операционная система:
Windows
Уровень:
низкий
Признаки
При старте копирует себя в системную директорию под именем sslms.exe.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \"WinDll (sslms.exe)" = "rundll32.exe %System%\sslms.exe,start"
Использует для распространения критические уязвимости Windows к переполнению буфера, не требующие вмешательства пользователя, в частности, MS04-007.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется посредством копирования себя на компьютеры, зараженные W32/Sasser, и эксплуатации уязвимостей в Windows, не требующих вмешательства пользователя.
Открывает на компьютере "чёрный ход"
Загружает и выполняет дополнительный код из интернета
Ослабляет настройки безопасности системы
Загружается при старте системы
Похищает информацию
lastmylove
17.07.2007, 09:41
W32.Himu.A@mm
Червь
Операционная система:
Windows
Уровень:
средний
Размер:
37.376 байт
При запуске отображает диалоговое окно:
Заголовок: Compressed (zipped) Folders Error
Сообщение: The Compressed (zipped) Folder is invalid or corrupted
Сохраняет свои копии как:
%UserProfile%\Start Menu\Programs\Startup\SERVIC3S.exe
%ProgramFiles%\WindowsUpdate\System Security\passwordlist.exe
%ProgramFiles%\WindowsUpdate\System Security\Updates.tmp\bangladesh.exe
%ProgramFiles%\WindowsUpdate\System Security\Updates.tmp\love.exe
%ProgramFiles%\WindowsUpdate\System Security\usernames.exe
D:\SystemVoliumeInfo\services.exe
D:\SystemVoliumeInfo\Mails\asdf45396ftADMIN.exe
D:\SystemVoliumeInfo\Mails\USERNAE485369KD5L.exe
D:\SystemVoliumeInfo\Mails\STATUSreport252.exe
D:\SystemVoliumeInfo\Mails\global_report.exe
D:\SystemVoliumeInfo\Mails\BBCandCNNreport.exe
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Microsoft Himu" = "D:\SystemVoliumeInfo\services.exe"
Пытается завершить следующие процессы:
avgctrl.exe
avgamsvr.exe
avgserv.exe
avgmsvr.exe
avgcc32.exe
avgcc.exe
avginet.exe
avgupsvc.exe
avgemc.exe
avgnt.exe
avgregcl.exe
Script
avgserv9.exe
avgw.exe
alogserv.exe
avsynmgr.exe
Mpfsheild.exe
MpfAgent.exe
mpf.exe
MpfConsole.exe
mcagent.exe
mcappins.exe
McDash.exe
mcdetect.exe
mcinfo.exe
mcmnhdlr.exe
mcshield.exe
mctskshd.exe
mcupdate.exe
mcvsescn.exe
mcvsshld.exe
mcvsftsn.exe
mcvsrte.exe
vstskmgr.exe
vsmain.exe
vshwin32.exe
pccpfw.exe
pccclient.exe
pcclient.exe
pccguide.exe
pccnt.exe
Name
pccntmon.exe
pccntupd.exe
PcCtlCom.exe
pcscan.exe
avpm.exe
avpcc.exe
kav.exe
kavmm.exe
kavsvc.exe
AVENGINE.EXE
remupd.exe
inicio.exe
prevsrv.exe
ALsvc.exe
ALMon.exe
SavService.exe
SWNETSUP.exe
ALUNotify.exe
ccApp.exe
nisserv.exe
NISUM.exe
Navapsvc.exe
NMain.exe
Navapw32.exe
VetMsg.exe
VetTray.exe
Vet32.exe
VetNT.exe
vsmon.exe
zlclient.exe
zapro.exe
zonealarm.exe
Отключает доступ к сайтам компаний ИТ-безопасности, включая службы обновлений защитного ПО (перенаправляет их имена на локальный IP):
www.symantec.com 127.0.0.1
www.sophos.com 127.0.0.1
www.avast.com 127.0.0.1
www.mcafee.com 127.0.0.1
www.f-prot.com 127.0.0.1
www.f-secure.com 127.0.0.1
www.avp.com 127.0.0.1
www.kaspersky.com 127.0.0.1
www.trendmicro.com 127.0.0.1
www.bitdefender.com 127.0.0.1
www.my-etrust.com 127.0.0.1
www.norman.com 127.0.0.1
www.grisoft.com 127.0.0.1
www.pandasecurity.com 127.0.0.1
Пытается ограничить доступ пользователя Windows Explorer к определённым приложениям. Для этого устанавливает следующие значения ключей реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\"RestrictRun" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\"RestrictRun1" = "msconfig.exe"
Создаёт следующий ключ реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Razaker.
Предположительно, использует его для пометки системы как уже зараженной.
Пытается через реестр отключить защиту McAfee Security:
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\notify\Global\"{e9d2660c-c448-4ec6-a193-b2f87f3e212f}" = "45 6D 61 69 6C 53 63 61 6E 3A"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\notify\Global\{B86251C4-A3DD-43fe-8970-6E564B3797EE}" = "56 53 4F 3A"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\VSO\"AutoClean" = "04 00 00 00 03 00 00 00 90 13 86 90 FB DA 42 46 33 13 85 66 20 E7 3B F5 33 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\EmailScan\"Enable" = "04 00 00 00 03 00 00 00 BC 2A 89 9A DF 50 32 ED 55 26 3F 04 E7 E3 39 27 04 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\EmailScan\"SMTPStatus" = "04 00 00 00 03 00 00 00 BC 2A 89 9A DF 50 32 ED 55 26 3F 04 E7 E3 39 27 04 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\WS\"Enable" = "04 00 00 00 03 00 00 00 BC 2A 89 9A DF 50 32 ED 55 26 3F 04 E7 E3 39 27 04 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\WS\"Pattern" = "04 00 00 00 03 00 00 00 BC 2A 89 9A DF 50 32 ED 55 26 3F 04 E7 E3 39 27 04 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\WS\"MaxRcpt" = "04 00 00 00 03 00 00 00 D2 74 D6 56 F5 90 23 CC 55 6E 34 3D 4B 16 80 63 2C 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\WS\"MinTimeLimit" = "04 00 00 00 03 00 00 00 02 82 11 59 B6 C6 81 AD 4A 6C AD A6 9E A4 4E 09 01 1A 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\ScriptStopper\"Enable" = "04 00 00 00 03 00 00 00 BC 2A 89 9A DF 50 32 ED 55 26 3F 04 E7 E3 39 27 04 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\FT\"Enable" = "04 00 00 00 03 00 00 00 BC 2A 89 9A DF 50 32 ED 55 26 3F 04 E7 E3 39 27 04 04 04 04"
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\ActiveShield\"VirusMapPostPermit" = 04 00 00 00 03 00 00 00 BC 2A 89 9A DF 50 32 ED 55 26 3F 04 E7 E3 39 27 04 04 04 04
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee.com\Virusscan Online\property\Quarantine\"QuarantinePath" = "9E 00 00 00 08 00 00 00 AD 03 D5 AA 38 58 56 A9 64 CE 6C 6C E1 8D 38 59 D6 9E A4 9E C2 9E DA 9E F1 9E FD 9E EB 9E F3 9E FB 9E F0 9E EA 9E ED 9E BE 9E FF 9E F0 9E FA 9E BE 9E CD 9E FB 9E EA 9E EA 9E F7 9E F0 9E F9 9E ED 9E C2 9E DF 9E F2 9E F2 9E BE 9E CB 9E ED 9E FB 9E EC 9E ED 9E C2 9E DF 9E EE 9E EE 9E F2 9E F7 9E FD 9E FF 9E EA 9E F7 9E F1 9E F0 9E BE 9E DA 9E FF 9E EA 9E FF 9E C2 9E D3 9E FD 9E DF 9E F8 9E FB 9E FB 9E B0 9E FD 9E F1 9E F3 9E C2 9E C8 9E CD 9E D1 9E C2 9E CF 9E EB 9E FF 9E EC 9E FF 9E F0 9E EA 9E F7 9E F0 9E FB 9E 9E 9E"
Пытается отключить Windows Security Centre и ослабить настройки безопасности, через реестр:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"AntiVirusDisableNotify" = "00000000"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"AntiVirusOverride" = "00000000"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"FirewallDisableNotify" = "00000000"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"FirewallOverride" = "00000000"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"UpdatesDisableNotify" = "00000000"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Ls a\"limitblankpassworduse" = "0x00000000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Lsa\"limitblankpassworduse" = "0x00000000"
Пытается отключить функцию блокирования сценариев в Norton Anti-Virus (NAV Script Blocking).
Добавляет ссылки в "Избранное" Microsoft Internet Explorer:
%SYSTEMROOT%\Documents and Settings\All Users\Favorites\ABOUT_BANGLADESH.url - "http://ourbangla.com"
%SYSTEMROOT%\Documents and Settings\All Users\Favorites\I_HATE_RAZAKER.url - "http://muktijuddha.com"
%SYSTEMROOT%\Documents and Settings\All Users\Favorites\VISIT_BANGLADESH.url - "http://www.parjatan.org"
Копирует себя в корневые директории всех подключенных сетевых дисков от C до Z под именами:
New Compressed (zipped) Folder.exe
kills.bat
format.bat
Также может копировать себя на совместно используемые диски под одним из имён:
Aupee Karim Pics.exe
download.exe
List of the musick.exe
LoveStory.exe
Lyrics Of Papercut.exe
MusicList.exe
readme2006.exe
window shopper.exe
Открывает в системе один или несколько доступных из сети ресурсов, связанных с директорией %PROGRAMFILES%\WindowsUpdate. Название выбирает из "Remote Service", "Himu" или "ADMIN$".
Создаёт и запускает файл D:\SystemVoliumeInfo\rab.bat, который проводит DoS-атаку сайта "http://www.rab.gov.bd" при помощи бесконечной команды ping.
Собирает на дисках адреса электронной почты. Ищет их по строке "mailto:" в файлах с расширениями:
htt
htm
hta
shtml
stm
asp
xml
doc
rtf
dbx
php
php3
phtml
jsp
sql
eml
ini
tbb
tbi
Рассылает себя по найденным адресам.
Характеристика писем:
Адрес отправителя выбирается из списка:
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
Текст сообщения:
To whom it may concern, We at www.rab.gov.bd are just warning all the online users to watch out for suspicious activities. If you would like to know more about how to report another new violence then please send a mail to us. Thank you for your time.
Тема выбирается из следующих:
Reminder to be aware of TERRORISM
Don't be another victim..!!
RAPID ACTION BATALION
HELP US FOR REMOVE THE TERRORISM
Имя вложения выбирается их следующих:
asdf45396ftADMIN.exe
USERNAE485369KD5L.exe
STATUSreport252.exe
global_report.exe
BBCandCNNreport.exe
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Удалить из файла hosts записи, сделанные червём
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется посредством массовой рассылки своих копий по электронной почте, а также копированием на сетевые и совместно используемые диски.
Пытается отключить защитные приложения и заблокировать доступ к некоторым сайтам.
Источник: Symantec.com
lastmylove
17.07.2007, 16:36
W32/Baysur-B
Червь
Операционная система:
Windows
Уровень:
низкий
Признаки
Копирует себя на съёмные и сетевые диски, выбирая в качестве имени имя одной из существующих директорий или файлов, и добавляет расширение SCR (исполняемый файл скринсейвера).
При первом запуске создаёт файл %Windows%\Thumbs[некоторое_число_пробелов].db. Это невредоносный файл, содержащий библиотеку времени выполнения Microsoft Visual Basic.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется посредством копирования себя на съёмные и сетевые диски.
Запускается автоматически после каждого старта Windows.
lastmylove
17.07.2007, 16:37
Troj/Prorat-DK
Троян
Операционная система:
Windows
Уровень:
низкий
Признаки
При первом запуске копирует себя в директорию Windows под именем services.exe, а также в системную директорию (%System%) под именами sservice.exe и fservice.exe.
Создаёт следующие файлы:
%Windows%\ktd32.atm (может быть безопасно удалён)
%System%\wininv.dll (определяется как Troj/Prorat-DK)
%System%\winkey.dll (определяется как Troj/Prorat-DK)
Записывает ссылки на себя в разделы реестра, отвечающие за автозагрузку приложений после запуска Windows:
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{5Y99AE78-58TT-11dW-BE53-Y67078979Y}\StubPath = %System%\sservice.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run\DirectX For MicrosoftR Windows = %System%\fservice.exe.
Для обеспечения автозагрузки также модифицирует следующую запись в реестре (дописывает себя в качестве параметра запуска к Explorer.exe):
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell = "Explorer.exe %System%\fservice.exe"
Создаёт записи в реестре в разделах:
HKCU\Software\Microsoft DirectX\WinSettings
HKCR\.key
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает на компьютере "чёрный ход", позволяющий атакующему получить полный контроль над системой; отправляет оповещение атакующему об установке в систему.
Запускается при каждой загрузке Windows.
lastmylove
17.07.2007, 16:38
Troj/Riler-Y
Троян
Операционная система:
Windows
Уровень:
низкий
Признаки
При первом запуске создаёт файлы в системной директории Windows:
toonjoke.dll - определяется как Troj/Riler-Gen
feelcat.ini - служебный файл трояна, может быть безопасно удалён
Toonjoke.dll устанавливает себя в начало цепочки обработчиков сетевого трафика (WSC) Windows Sockets 2 и таким образом может перехватывать трафик.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Перехватывает сетевой трафик.
Может загружать из интернета и выполнять другой вредоносный код.
lastmylove
18.07.2007, 17:32
W32/Sdbot-DGJ
Признаки
При первом запуске копирует себя в директорию Windows под именем nzbd.exe, а также в "Program Files\KaZaA\My Shared Folder\" под именем, совпадающим с именем одного из исполняемых (exe) файлов, найденных в директории.
Файл nzbd.exe регистрируется как новый системный драйвер сервиса "Windows NZDB Service", имеющего такое же отображаемое имя и тип запуска "автоматический". Записи в реестре создаются в разделе:
HKLM\SYSTEM\CurrentControlSet\Services\Windows NZDB Service
Через реестр отключает доступ к Диспетчеру задач и Редактору реестра:
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableTaskMgr=1
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableRegistryTools=1
Отключает в реестре автозапуск ряда приложений (Messenger, Удалённый реестр и Telnet):
HKLM\SYSTEM\CurrentControlSet\Services\Messenger\S tart=4
HKLM\SYSTEM\CurrentControlSet\Services\RemoteRegis try\Start=4
HKLM\SYSTEM\CurrentControlSet\Services\TlntSvr\Sta rt=4
Отключает контроль целостности системных файлов (SFC) и брандмауэр Windows, запрещает установку SP2 для XP:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCScan=0
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\D omainProfile\EnableFirewall=0
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\S tandardProfile\EnableFirewall=0
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUp date\DoNotAllowXPSP2=1
HKLM\SOFTWARE\Microsoft\Ole\EnableDCOM=N
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCDisable=ffffff9d
Модифицирует значение ключа HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell, дописывая себя в качестве параметра к Explorer.exe. Это обеспечивает автоматический запуск при старте графической оболочки Windows.
Explorer.exe %WINDIR%\nzbd.exe
Создаёт в реестре ключи в следующих разделах:
HKLM\SOFTWARE\Microsoft\Security Center
HKLM\SOFTWARE\Symantec\LiveUpdate Admin
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Найти и удалить сервис, созданный вредоносной программой.
Действие
Устанавливается как сервис; открывает в системе "чёрный ход"; связывается с атакующим через веб-сайты.
lastmylove
18.07.2007, 17:32
W32/Poebot-MN
Червь
Признаки
При запуске копирует себя в системную директорию Windows под именем csrs.exe; записывает ссылку на этот файл в раздел реестра, отвечающий за автозагрузку приложений (HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru n\"Client Server Runtime Process"="%System%\csrs.exe").
Распространяется на другие компьютеры в интернете, используя критические уязвимости переполнения буфера в Windows, не требующие участия пользователя:
LSASS (MS04-011)
SRVSVC (MS06-040)
RPC-DCOM (MS04-012)
PNP (MS05-039)
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает на компьютере "чёрный ход".
Подключается к IRC-серверу для приёма команд атакующего.
Крадёт конфиденциальную информацию.
Загружает из интернета и выполняет дополнительный вредоносный код.
Распространяется, используя критические уязвимости в Windows
lastmylove
18.07.2007, 17:34
Trojan.Gpcoder.E
Троян
Для проверки наличия своей копии в памяти, создаёт мутекс __SYSTEM__64AD0625__.
Копирует себя в системную директорию Windows под именем ntos.exe; для сокрытия длины дополняет файл случайным количеством "мусорных" байт.
Проверяет наличие в памяти брандмауэров OUTPOST.EXE и CCPROXY.EXE. При обнаружении откладывает работу до следующей перезагрузки системы.
Собирает следующую информацию:
Версия ОС
Наличие SP2 (для XP)
Язык системы
Создаёт в системной директории Windows директорию wsnpoem с атрибутами "системная" "скрытая" (system и hidden).
Создаёт в wsnpoem файл-хранилище собранной информации: audio.dll.
Создаёт там же зашифрованный файл собственных настроек: video.dll.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений вместе с системой:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "%System%\userinit.exe, %System%\ntos.exe"
Для тех же целей может модифицировать следующие ключи реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"userinit" = "%System%\ntos.exe"
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run\"userinit" = "%System%\ntos.exe"
Внедряет вредоносный код в процессы WINLOGON.EXE и SVCHOST.EXE; пытается создать собственные потоки (threads) во всех процессах, кроме CSRSS.EXE.
Код выполняет функцию защиты от удаления и доступа к файлам, созданным трояном, и периодически восстанавливает изменённые и добавленные значения реестра.
Для внедрения кода в другие процессы использует методику руткита пользовательского режима.
Пытается получить контроль к работе с сетью - перехватывать и перенаправлять трафик.
Собирает различную информацию из системы.
Может создавать в реестре метку, означающую, что компьютер уже захвачен:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\"UID" = "[ИМЯ_КОМПЬЮТЕРА]_[УНИКАЛЬНЫЙ_ID]"
Открывает "чёрный ход" на TCP-порту 6081.
После 10 июля активируется процедура шифрования файлов.
Создаёт в реестре следующие ключи:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\"WinCode" = "[КЛЮЧ_ДЛЯ_ШИФРОВАНИЯ - 4 байта]"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\"Win32" = "[ПОЧТОВЫЙ_ФЛАГ]"
[ПОЧТОВЫЙ ФЛАГ] - случайное число от 1 до 4, используемое для выбора почтового адреса атакующего.
Ищет на дисках (C - Z, кроме компакт-дисководов) во всех директориях, кроме корневой, файлы с расширениями:
.12m
.3ds
.3dx
.4ge
.4gl
.7z
.a86
.abc
.acd
.ace
.act
.ada
.adi
.aex
.af3
.afd
.ag4
.ai
.aif
.aifc
.aiff
.ain
.aio
.ais
.akf
.alv
.amp
.ans
.ap
.apa
.apo
.app
.arc
.arh
.arj
.arx
.asc
.asm
.ask
.au
.bak
.bas
.bb
.bcb
.bcp
.bdb
.bh
.bib
.bpr
.bsa
.btr
.bup
.bwb
.bz
.bz2
.c86
.cac
.cbl
.cc
.cdb
.cdr
.cgi
.cmd
.cnt
.cob
.col
.cpp
.cpt
.crp
.cru
.csc
.css
.csv
.ctx
.cvs
.cwb
.cwk
.cxe
.cxx
.cyp
.db
.db0
.db1
.db2
.db3
.db4
.dba
.dbb
.dbc
.dbd
.dbe
.dbf
.dbk
.dbm
.dbo
.dbq
.dbt
.dbx
.dfm
.djvu
.dic
.dif
.dm
.dmd
.doc
.dok
.dot
.dox
.dsc
.dwg
.dxf
.dxr
.eps
.exp
.fas
.fax
.fdb
.fla
.flb
.frm
.fm
.fox
.frm
.frt
.frx
.fsl
.gtd
.gif
.gz
.gzip
.ha
.hh
.hjt
.hog
.hpp
.htm
.html
.htx
.ice
.icf
.inc
.ish
.iso
.jar
.jad
.java
.jpg
.jpeg
.js
.jsp
.key
.kwm
.lst
.lwp
.lzh
.lzs
.lzw
.ma
.mak
.man
.maq
.mar
.mbx
.mdb
.mdf
.mid
.mo
.myd
.obj
.old
.p12
.pak
.pas
.pdf
.pem
.pfx
.php
.php3
.php4
.pgp
.pkr
.pl
.pm3
.pm4
.pm5
.pm6
.png
.ppt
.pps
.prf
.prx
.ps
.psd
.pst
.pw
.pwa
.pwl
.pwm
.pwp
.pxl
.py
.rar
.res
.rle
.rmr
.rnd
.rtf
.safe
.sar
.skr
.sln
.swf
.sql
.tar
.tbb
.tex
.tga
.tgz
.tif
.tiff
.txt
.vb
.vp
.wps
.xcr
.xls
.xml
.zip
Найденные файлы шифруются самодельным алгоритмом при помощи вышеуказанного ключа. Первые байты зараженного файла содержат сигнатуру - "GLAMOUR"
Создаёт в каждой директории, где есть зашифрованные файлы, файл read_me.txt.
В файле говорится, что все данные за последние 3 месяца зашифрованы алгоритмом RSA-4096, и необходимо заплатить выкуп в $300 за получение программы-расшифровщика. Иначе данные будут утеряны для пользователя и разглашены в Сети.
Текст в оригинале:
Hello, your files are encrypted with RSA-4096 algorithm ([http://]en.wikipedia.org/wiki/R[УДАЛЕНО]). You will need at least few years to decrypt these files without our software. All your private information for last 3 months were collected and sent to us. To decrypt your files you need to buy our software. The price is $300. To buy our software please contact us at: [EMAIL] and provide us your personal code [КЛЮЧ_ДЛЯ_ШИФРОВАНИЯ]. After successful purchase we will send your decrypting tool, and your private information will be deleted from our system.
If you will not contact us until 07/15/2007 your private information will be shared and you will lost all your data.
Glamorous team Почтовый адрес ([EMAIL]) выбирается в зависимости от значения "[ПОЧТОВЫЙ_ФЛАГ]":
[email protected]
[email protected]
[email protected]
[email protected]
Пытается отправлять и получать данные с сайта:
[http://]martin-golf.net/pajero/cfg[УДАЛЕНО]
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Зашифровывает файлы на диске и предлагает пользователю заплатить выкуп за получение пароля.
lastmylove
18.07.2007, 17:34
Troj/PSW-EF
Троян
Признаки
При первом запуске копирует себя в системную директорию Windows (%System%) под именем shareb.exe и записывает в директорию Windows (%Windows%) DLL-файл shareb32.dll.
Устанавливает shareb32.dll как Вспомогательный объект браузера Microsoft Internet Explorer (Browser Helper Object). Производит записи в реестре:
HKCR\CLSID\{FBF3B337-FEB6-403B-BBE2-2B67CB6563E3}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\ShellExecuteHooks= {FBF3B337-FEB6-403B-BBE2-2B67CB6563E3}
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Работает как вспомогательный объект браузера Microsoft Internet Explorer; крадёт данные, вводимые в формах браузера.
lastmylove
18.07.2007, 17:35
W32/Looked-DM
Вирус
Признаки
При первом запуске создаёт следующие файлы в директории Windows (%Windows%):
Logo1_.exe
RichDll.dll
\uninstall\\rundl132.exe
Может создавать файлы "_desktop.ini" в различных директориях зараженного компьютера. Это безопасные текстовые файлы, которые могут быть удалены без вреда для системы.
Записывает ссылку на себя в раздел автозагрузки реестра:
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load = "%Windows%\uninstall\rundl132.exe"
Создаёт раздел реестра HKLM\SOFTWARE\Soft\DownloadWWW\
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Способ заражения: запись тела вируса в начало исполняемого файла, дописывание оригинального файла в конец.
Распространяется, заражая файлы в директориях общего доступа файлообменных сетей.
Открывает "чёрный ход" на зараженном компьютере.
Загружает из интернета и выполняет другой вредоносный код.
lastmylove
18.07.2007, 22:06
Micro Bill System
Признаки
Потенциально нежелательное приложение для Windows от биллинговой компании Micro Bill Systems. Выводит счёт во всплывающем окне и учащает вывод окна при попытке пользователя проигнорировать его.
Пытается подключиться к сайту auth.microbillsys.com:1003; также посещает определённый URL и пытается установить с него различные компоненты, используя ActiveX.
Защита
Для удаления необходимо воспользоваться антивирусом с базой сигнатур, содержащих определение данного приложения.
Действие
Потенциально нежелательное приложение для Windows, совершающее действия, не согласованные с пользователем.
Micro Bill Systems - онлайновая биллинговая компания, предоставляющая услуги в основном "взрослым" сайтам.
Приложение отображает счёт во всплывающем окне, и чем больше его игнорировать, тем чаще окно будет всплывать.
Приложение также пытается загружать дополнительные компоненты.
lastmylove
21.07.2007, 09:11
W97M.Mupps
Признаки
Вредоносный код содержится в макросе в документе Word (.DOC). При открытии документа записывает в текущую директорию EXE-файл svdhost.exe - утилиту для организации на компьютере "чёрного хода".
Пытается подключиться к 160.149.157.132 через TCP-порты 443, 22 или 80.
Защита
Для удаления трояна необходимо воспользоваться антивирусной программой, содержащей в базе сигнатур его определение.
Действие
Представляет собой документ Word (.DOC). Открывает на компьютере "чёрный ход", связывается с атакующим.
lastmylove
21.07.2007, 09:11
W32/SillyFDC-AN
Признаки
При запуске копирует себя в системную директорию Windows (%System%) под именем systeminit.exe.
Копирует себя в корневую директорию съёмных дисков под именем setup.exe вместе с файлом автозапуска - autorun.inf, указывающим на setup.exe.
Создаёт в реестре запись, позволяющую запускать свой код при каждом старте Windows:
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\systeminit = "%System%\systeminit.exe"
Затрудняет своё обнаружение, отключая через реестр доступ к Диспетчеру задач, командному процессору (cmd.exe), Редактору реестра и поиску файлов:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\system\DisableCMD=2
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\system\DisableRegistryTools=1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\system\DisableTaskMgr=1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\Explorer\NoFind=1
Включает через реестр автозапуск файлов (через autorun.ini) на всех дисках:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\Explorer\NoDriveTypeAutoRun=0
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на съёмные диски; запускается автоматически при старте системы.
lastmylove
21.07.2007, 09:13
W32/Sdbot-DGM
Для распространения использует уязвимости Windows к удалённому выполнению кода, не требующие вмешательства пользователя, в частности, ASN.1 (MS04-007).
Также проникает на компьютеры через совместно используемые ресурсы, защищённые слабыми паролями.
При запуске копирует себя как %Windows%\MSTask.exe.
Создаёт вспомогательный файл %System%\trash1B9F4.
Создаёт библиотеку %System%\sfc_os.dll, отключающую проверку системных файлов. Антивирусы Sophos определяют её как "Disabled System File Check DLL".
Заменяет ftp-клиенты %System%\ftp.exe и %System%\tftp.exe на пустые файлы.
Регистрирует в реестре %Windows%\MSTask.exe как сервис "Windows Task Scheduler process" с аналогичным описанием и типом запуска "автоматический":
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WIN DOWS_TASK_SCHEDULER_PROCESS\
HKLM\SYSTEM\CurrentControlSet\Services\Windows Task Scheduler process\
Отключает через реестр различные функции защитных программ и защитные функции системы:
HKLM\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify=1
HKLM\SOFTWARE\Microsoft\Security Center\AntiVirusOverride=1
HKLM\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify=1
HKLM\SOFTWARE\Microsoft\Security Center\FirewallOverride=1
HKLM\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify=1
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCScan=0
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\D omainProfile\EnableFirewall=0
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\S tandardProfile\EnableFirewall=0
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUp date\DoNotAllowXPSP2=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Enterprise Security Manager=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Ghost=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Intruder Alert=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\LiveAdvisor=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\LiveUpdate=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\NetRecon=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Norton AntiVirus Product Updates=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Norton AntiVirus Virus Definitions=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Norton CleanSweep=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Norton Commander=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Norton Internet Security=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Norton SystemWorks=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Norton Utilities=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\PC Handyman and HealthyPC=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Rescue Disk=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\SymEvent=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Symantec Desktop Firewall=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\Symantec Gateway Security IDS=1
HKLM\SOFTWARE\Symantec\LiveUpdate Admin\pcANYWHERE=1
HKLM\SYSTEM\CurrentControlSet\Services\lanmanserve r\parameters\AutoShareServer=0
HKLM\SYSTEM\CurrentControlSet\Services\lanmanserve r\parameters\AutoShareWks=0
HKLM\SYSTEM\CurrentControlSet\Services\lanmanworks tation\parameters\AutoShareServer=0
HKLM\SYSTEM\CurrentControlSet\Services\lanmanworks tation\parameters\AutoShareWks=0
HKLM\SYSTEM\CurrentControlSet\Services\wscsvc\Star t=4
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe); восстановить значения изменённых ключей.
Действие
Создаёт на компьютере "чёрный ход", поддерживая связь с атакующим через IRC-сервер
Загружает и выполняет дополнительный вредоносный код
Собирает и отправляет атакующему важную информацию
Распространяется, используя критические уязвимости в Windows к удалённому выполнению кода, не требующие вмешательства пользователя. Также копирует себя на совместно используемые сетевые ресурсы, защищённые слабыми паролями.
lastmylove
21.07.2007, 09:13
W32/SillyFDC-AM
Признаки
При старте копирует себя в системную директорию драйверов Windows (%System%\DRIVERS\) под именем WINLOGON.EXE, а также ищет EXE файлы на всех дисках и перезаписывает их своей копией, оставляя старое имя.
Распространяется копированием себя на съёмные диски под именем setup.exe, создаёт в корне диска файл автозапуска Autorun.inf.
Пытается заменить исполняемые файлы на компьютере на свою копию.
Обеспечивает себе автозагрузку, записывая в реестр следующее значение:
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load="%System%\DRIVERS\WINLOGON.EXE"
Через реестр разрешает запуск файлов autorun.inf на всех дисках:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\Explorer\NoDriveTypeAutoRun=0
Через реестр отключает функцию поиска файлов, доступ к командному процессору (cmd.exe), Редактору реестра и Диспетчеру задач:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\Explorer\NoFind=1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\system\DisableCMD=2
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\system\DisableRegistryTools=1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\pol icies\system\DisableTaskMgr=1
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой, а также восстановить значения всех изменённых ключей (использовать regedit.exe)
Действие
Распространяется копированием себя на съёмные диски и перезаписью исполняемых файлов EXE своей копией.
lastmylove
21.07.2007, 09:14
W32/Rubble-A
Признаки
При старте копирует себя под именем win32.exe в системную директорию Windows.
Записывает ссылку на себя в раздел автозагрузки реестра:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \Load=%System%\win32.exe
Распространяется, перезаписывая собой найденные исполняемые файлы (EXE) на всех дисках, включая съёмные.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется перезаписыванием собой исполняемых файлов (EXE) на всех дисках, что может привести к неработоспособности системы после перезагрузки.
lastmylove
21.07.2007, 09:14
Troj/Dorf-Gen
Признаки
Семейство троянов; при запуске копируют в директорию Windows файл драйвера с расширением SYS и регистрируют его в качестве сервиса с автоматической загрузкой при старте системы.
Для регистрации сервиса создают в реестре запись:
HKLM\SYSTEM\CurrentControlSet\Services\[ИМЯ_СЕРВИСА]
Обычно различные варианты троянов семейства пытаются встроить код в файл services.exe. Создают пустой файл %System%\peers.ini, загружают из интернета и выполняют дополнительный вредоносный код, открывают на компьютере "чёрный ход", предоставляющий атакующему полный доступ к системе.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Семейство троянов для Windows, открывающих в системе "чёрный ход".
lastmylove
21.07.2007, 09:14
Troj/DropRk-A
Признаки
При старте копирует себя в %Temp%\startdrv.exe, а также создаёт файл %System%\drivers\runtime2.sys. Последний представляет собой драйвер-руткит Troj/Rootkit-BI.
Устанавливает runtime2.sys в качестве системного сервиса с автоматическим запуском при старте системы. Для этого добавляет в реестр следующие записи:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_RUN TIME2\
HKLM\SYSTEM\CurrentControlSet\Services\runtime2
Записывает ссылку на %Temp%\startdrv.exe в раздел реестра, отвечающий за автозагрузку:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \startdrv="%Temp%\startdrv.exe"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Устанавливает руткит Troj/Rootkit-BI, открывает в системе "чёрный ход", загружает из интернета и выполняет другой вредоносный код.
lastmylove
21.07.2007, 09:15
Troj/Agent-FYV
Признаки
При старте записывает в системную директорию Windows драйвер и библиотеку:
%System%\drivers\[СЛУЧАЙНОЕ_ИМЯ]94.sys
%System%\[СЛУЧАЙНОЕ_ИМЯ]94.dll
Регистрирует SYS-файл как системный сервис с режимом автоматической загрузки при старте системы. (Создаёт в реестре ветвь HKLM\SYSTEM\CurrentControlSet\Services\[СЛУЧАЙНОЕ_ИМЯ]94).
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Устанавливает в системе драйвер-руткит; открывает в системе "чёрный ход", загружает из интернета и выполняет другой вредоносный код.
lastmylove
24.07.2007, 09:03
Spyware.KeyloggerLite
Признаки
При установке создаёт директории:
%ProgramFiles%\Keylogger Lite
%UserProfile%\Start Menu\Programs\Keylogger Lite
Создаёт следующие файлы:
%UserProfile%\Desktop\Keylogger Lite.lnk
%UserProfile%\Start Menu\Programs\Keylogger Lite\Keylogger Lite.lnk
%UserProfile%\Start Menu\Programs\Keylogger Lite\Uninstall Keylogger Lite.lnk
%UserProfile%\Start Menu\Programs\Keylogger Lite\Visit the Official Keylogger Lite Website.lnk
%ProgramFiles%\Keylogger Lite\exp32.dll
%ProgramFiles%\Keylogger Lite\Keylogger Lite.exe
%ProgramFiles%\Keylogger Lite\Uninstall.exe
%ProgramFiles%\Keylogger Lite\Visit the Official Keylogger Lite Website.url
Создаёт следующие подключи в реестре:
HKEY_ALL_USERS\Software\ToolsAnywhere
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Keylogger Lite.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Клавиатурный шпион: записывает ввод с клавиатуры в отдельный файл.
Источник: Symantec.com
lastmylove
24.07.2007, 09:04
Adware.Webbuy
Признаки
При запуске создаёт следующие файлы:
%ProgramFiles%\Web Buying\[ВЕРСИЯ]\Webbuying.exe
%System%\[СЛУЧАЙНОЕ ИМЯ].dll
[ВЕРСИЯ] может быть следующей: v1.0, v1.1, v1.2, v1.3, v1.4, v1.5, v1.5.1, v1.5.2, v1.5.3, v1.5.4, v1.5.5, v1.5.6, v1.5.7, v1.5.8, v1.5.9, v1.6.0, v1.6.1, v1.6.2, v1.6.3, v1.6.4, v1.6.5, v1.6.6, v1.6.7, v1.6.8, v1.6.9, v1.7.0, v1.7.1, v1.7.2, v1.7.3, v1.7.4.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте Windows:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"WebBuying" = "%ProgramFiles%\Web Buying\[ВЕРСИЯ]\Webbuying.exe"
Создаёт в реестре следующие подключи:
HKEY_CLASSES_ROOT\CLSID\{[СЛУЧАЙНЫЙ CLSID]}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{[СЛУЧАЙНЫЙ CLSID]}
HKEY_CURRENT_USER\Software\WebBuying
Для получения и отображения рекламы соединяется со следующим сайтом:
[http://]s.webbuying.net/e/sp.[УДАЛЕНО].
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Вспомогательный объект браузера (Browser Helper Object), отображающий рекламу.
Требует ручной установки.
Источник: Symantec.com
lastmylove
24.07.2007, 09:07
W32.Phoney.A
При запуске сохраняет себя как
C:\Documents and Settings\All Users\Start Menu\Programs\Startup\Empty.pif
%Windir%\Autorun.inf
%System%\web.exe
%Windir%\winxp.exe
%CurrentFolder%\[ИМЯ_ДИРЕКТОРИИ].exe
Копирует себя на подключенные сетевые диски под именем microsoft.exe и создаёт на этих дисках файл автозапуска autorun.inf со ссылкой на microsoft.exe.
Записывает в реестр ключи, обеспечивающие автозапуск при каждом старте системы:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"Bron" = "%Windir%\winxp.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Rontok" = "Explorer.exe "%Windir%\winxp.exe""
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "%System%\userinit.exe, %Windir%\winxp.exe"
Ослабляет настройки безопасности системы, а также запрещает пользователю доступ к Редактору реестра, Диспетчеру задач и другим функциям. Для этого модифицирует настройки в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer\"NoFolderOptions" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\System\"DisableRegistryTools" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\System\"DisableTaskMgr" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "4"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoClose" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoDesktop" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"Nofolderoptions" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Network\"NoNetSetup" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableCMD" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableRegistryTools" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableTaskMgr" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"NoDispCPL" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\WinOldApp\"Disable = "4"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug\"Auto" = ""1""
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT\SystemRestore\"DisableConfig" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT\SystemRestore\"DisableSR" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Installer\"DisableMSI" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Installer\"LimitSystemRestoreCheckpointing" = "1"
Перехватывает на себя команды запуска исполняемых файлов (BAT, COM, EXE, LNK, PIF). Модифицирует следующие записи в реестре:
HKEY_CLASSES_ROOT\batfile\shell\open\command\"(Default Value)" = ""%System%\web.exe" "%1" %*"
HKEY_CLASSES_ROOT\comfile\shell\open\command\"(Default Value)" = ""%System%\web.exe" "%1" %*"
HKEY_CLASSES_ROOT\exefile\"(Default Value)" = "File Folder" = ""%System%\web.exe" "%1" %*"
HKEY_CLASSES_ROOT\lnkfile\shell\open\command\"(Default Value)" = ""%System%\web.exe" "%1" %*"
HKEY_CLASSES_ROOT\piffile\shell\open\command\"(Default Value)" = ""%System%\web.exe" "%1" %*"
Обеспечивает себе автозагрузку в "Безопасном режиме":
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\"AlternateShell" = "%System%\web.exe"
Перезагружает компьютер каждые полчаса с 8 утра до 8:30 вечера.
Выводит сообщение от имени Norton Antivirus о том, что компьютер заражен Rontokbro.
Сообщение появляется по следующему расписанию:
08:13:10
08:48:10
09:17:10
09:51:10
10:10:10
10:46:10
11:19:10
11:38:10
12:12:10
12:49:10
13:41:10
14:06:10
14:27:10
15:15:10
15:54:10
16:10:10
16:43:10
17:16:10
17:42:10
18:17:10
Закрывает окна, содержащие в заголовке следующие подстроки:
ANT
ANTI
ASM
AVAST
AVS
BUG
CLEANER
CONF
DBG
DETEC
ESSET
Edit
Editor
Folder
INSTALL
KILL
Local
MCAFEE
NOD32
NORTON
NTVDM
OPEN
Options
PLAY
PROC
REG
REM
REMOV
REST
Registry
SAVE
SCAN
SETUP
Settings
TASK
UPDAT
UPG
VIR
VIRUS
W32
WALK
Закрывает окна следующих типов: ComboBox, ComboBoxEx32, RebarWindow32
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Использовать инструмент для сброса подключей реестра shell\open\command, модифицированных вредоносной программой, либо модифицировать их вручную.
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые значения реестра (использовать regedit.exe)
Действие
Распространяется копированием себя на подключенные сетевые диски (mapped drives).
Ослабляет настройки безопасности в системе.
Источник: Symantec.com
lastmylove
24.07.2007, 09:07
W32/Rbot-GSJ
Признаки
Открывает в системе "чёрный ход" через IRC-сервер, обеспечивая доступ атакующего к зараженному компьютеру.
При первом запуске сохраняет себя как %System%\rundll.exe.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \Microsoft=rundll.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Services\Microsoft=rundll.exe
Записывает в реестр следующий ключ:
HKCU\Software\ASProtect\Microsoft=rundll.exe
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на совместно используемые сетевые диски.
Открывает "чёрный ход" на компьютере; загружает из интернета и запускает другой вредоносный код.
Ослабляет настройки безопасности системы.
Запускается после каждой загрузки системы.
Источник: Sophos.com
lastmylove
24.07.2007, 09:08
W32/Frawrm-A
Признаки
При первом запуске копирует себя как:
%Root%\recycler\systems.com
%System%\taskmger.com.
Создаёт файл %Root%\autorun.inf, который определяется как Mal/AutoInf-A
Обеспечивает свою автозагрузку, дописывая себя в реестр в качестве параметра к оболочке по умолчанию:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell=Explorer.exe taskmger.com
Отключает доступ пользователя к Диспетчеру задач и Редактору реестра:
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableTaskmgr=1
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableRegistryTools=1
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на совместно используемые сетевые диски и съёмные диски.
Источник: Sophos.com
lastmylove
24.07.2007, 09:09
W32/Sohana-Z
Признаки
При первом запуске копирует себя как:
%Windows%\SCVHOST.exe
%System%\SCVHOST.exe
%System%\blastclnnn.exe
Создаёт файл %System%\autorun.ini (файл определяется как Mal/AutoInf-A).
Записывает ссылку на себя в ключи реестра, отвечающие за автозагрузку приложений при старте системы:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run \Yahoo Messengger = %System%\SCVHOST.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell=Explorer.exe SCVHOST.exe
Отключает через реестр Диспетчер задач и Редактор реестра, а также удаляет пункт меню "Свойства папки" из меню "Настройка":
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableTaskMgr=1
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableRegistryTools=1
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\Explorer\NofolderOptions=1
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые значения ключей (использовать regedit.exe)
Действие
Распространяется копированием себя на съёмные диски, сетевые диски и через программы чата.
Обладает следующим функционалом:
Открывает "чёрный ход" на зараженном компьютере
Ворует информацию, включая ввод с клавиатуры
Загружает из интернета и выполняет другой вредоносный код
Ослабляет настройки безопасности системы
Загружается автоматически при старте системы
Источник: Sophos.com
lastmylove
24.07.2007, 09:09
W32/Ircbot-WW
Признаки
При первом запуске копирует себя в системную директорию Windows (%System%) под именем u.exe.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \Office Monitor Word Exel R= %System%\u.exe
Отключает через реестр сервис DCOM и доступ к LSA анонимным пользователям, защищая компьютер от вредоносного кода, использующего уязвимости Windows в этих компонентах системы:
HKLM\SOFTWARE\Microsoft\Ole\EnableDCOM=N
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\restrict anonymous=1
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой, восстановить все изменённые ключи (использовать regedit.exe)
Действие
Распространяется копированием себя на совместно используемые сетевые диски.
Открывает на компьютере "чёрный ход", подключаясь к IRC-серверу
Ворует информацию
Загружает из интернета и выполняет другой вредоносный код
Загружается автоматически при каждом старте системы
Источник: Sophos.com
lastmylove
28.07.2007, 10:15
W32.Mubla.B
При первом запуске создаёт следующие файлы:
%System%\notiffy.dll
%System%\printers.exe
Через реестр регистрирует себя как COM-объект и объект загрузки оболочки:
HKEY_CURRENT_USER\Software\Microsoft\[СЛУЧАЙНЫЕ_БУКВЫ]\"[СЛУЧАЙНЫЕ_БУКВЫ_(ТЕ_ЖЕ)]" = "[ДВОИЧНЫЕ_ДАННЫЕ]"
HKEY_CLASSES_ROOT\CLSID\{[СЛУЧАЙНЫЙ CLSID]}\InProcServer32\"(Default Value)" = "notiffy.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad\"printers" = "{[СЛУЧАЙНЫЙ CLSID (ТОТ ЖЕ)]}"
Подключается к IRC серверу john.free4people.net и заходит на определённый канал.
Обеспечивает для атакующего возможность загружать и выполнять файлы на зараженном компьютере, а также воровать пароли.
Распространяется через MSN Live Messenger, предлагая пользователям ссылку на файл photosalbum-2007-5-26.scr, расположенный на FTP-сервере.
В качестве сопроводительного текста использует случайным образом одну из следующих строк:
You and Me !!! .... look :p
Look at my photos hihi :p
Hey please accept my photos :o !!
A photo with me and my best friend :$ !!
This is me totaly naked :o please dont send to anyone else
Look what i found on the NET :o Jessica Alba NUDE !!
images0
photos0
album
photo
pictures0
picture
bak sana Paris Hilton ne hale gelmis hapiste :(
Sen ve Ben !!! .... BAK :p
Baksana benim fotograflara hihi :p
Hey benim fotolarimi kabul et :o !!
Iyi arkadasimla fotorafdayim :$ !!
benim bu ciplak fotoda :o ama baskasina yollama
bak ne buldum :o Jessica alba ciplak !!
lle ai .t. jeter en prison :(
Toi et moi !!! .... regarde :p
Regarde mes photos :p
Hey s',27h,'il te plait accepte mes photos :o !!
Une photo de moi et mon meilleur ami :$ !!
envoie a personne d',27h,'autre
NU !!
Kijk hoe erg Paris Hilton er aan toe is na gevangenschap :(
Jij en Ik !!!! .... kijk :p
Kijk eens naar mijn fotos hihi :p
HEY !! accepteer mn fotos dan !
met mijn beste vriend op de foto !! :$
Dit ben ik naakt op de foto, stuur alsjeblieft niet door.
Kijk wat ik gevonden heb :o Jessica Alba naakt !!
aus dem knast ist :(
du und ich !!! ....guck :p
siehe meine fotos hihi :p
hey bitte nimm meine fotos an :o !!
ein foto mit meinem besten freund und mir :$ !!
das bin ich total nackt :o bitte sende es niemand anderem
!!
a :(
Tu ed io !!! .... guarda :p
Guardi le mie foto hihi :p
Mairee photos accept karo :o !!
Una foto con me ed il mio amico migliore :$ !!
Questa e me totaly nudo :o prego non trasmette a chiunque
A !!
:(
Voc. e eu !!!! .... Veja :p
Veja as minhas fotos hehehe :p
Por favor aceite as minhas fotos :o !!
Uma foto com o meu melhor amigo e eu :$ !!
ingu.m
Olha o que eu achei na NET :o Jessica Alba NUA !!
kAN BA LI XI ER DUN JIN JIANYU HOU SHI DUO ME QIAOCUI :(
NI HE WO !!! .... QING KAN :p
KAN WO DE ZHAOPIAN :p
JIESHOU WO DE ZHAO PIAN :o !!
YI ZHANG WO GEN WO PENGYOU ZUI HAO DE ZHAOPIAN :$ !!
KAN WO DE ZHAOPIAN :p
ZHE SHI WO DE LUOZHAO :o QING BU YAO FA GEI BIEREN !!
Hey, acceptera mina bilder, sn.lla :o
En bild p. mig och min b.sta v.n :$ !!!
n.lla...
Kolla vad jag hittade p. n.tet :o Jessica Alba NAKEN !!
Ha aceptado mis fotos por favor :o !!
Una foto con mi mejor amigo e yo :$ !!
die
Mira lo que encontr. en la WEB :o Jessica Alba DESNUDA !!
Lede hvor spild Paris Hilton er efter hun fik f.ngsel :(
Jer og Mig !!! ... se :p
Se p. min fotos :p
Hej behage optage min foto :o !!
EN foto hos mig og min bedst ven :$ !!
il nogle :o
Lede hvad jeg fandt oven p. den net :o Jessica Alba bar !!
(По классификации Sophos называется W32/Kik-A)
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется, рассылая ссылки на себя через MSN Live Messenger; открывает на компьютере "чёрный ход" через канал IRC-сервера.
Источник: Symantec.com
lastmylove
28.07.2007, 10:16
W32/OutLaw-B
При первом запуске копирует себя как:
%Root%\recycler\systems.com
%System%\taskmger.com
Копирует себя на все съёмные и сетевые диски как %Root%\recycler\systems.com и создаёт файл %Root%\autorun.inf, обеспечивающий автозапуск копии червя при подключении дисков к файловой системе. Последний файл определяется антивирусом Sophos как Mal/AutoInf-A.
В реестре дописывает своё имя в качестве параметра к оболочке по умолчанию (Explorer.exe), обеспечивая себе автозагрузку при каждом старте системы.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell = "Explorer.exe taskmger.com"
Отключает через реестр доступ пользователя к Диспетчеру задач и Редактору реестра:
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableTaskmgr=1
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\DisableRegistryTools=1
Псевдонимы W32/OutLaw-B: Virus.Win32.AutoRun.bd, W32/Generic.worm.j.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на съёмные и сетевые диски.
Запускается при каждом старте системы и находится в памяти в течение всего сеанса работы.
lastmylove
28.07.2007, 10:16
W32.Bratsters
При первом запуске создаёт в системной директории Windows (%System%) файлы wnipsvr.exe и perefic.ini.
В корне всех дисков создаёт свою копию под именем hide.exe и файл autorun.inf, содержащий ссылку на hide.exe и обеспечивающий автозапуск червя при каждом подключении диска к системе.
Создаёт следующие записи в реестре:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Visual WEB\"Start" = "2" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Visual WEB\"ImagePath" = "%System%\wnipsvr.exe -run"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Visual WEB\"DisplayName" = "NetworSVSA"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Visual WEB\"Description" = "[СООБЩЕНИЕ_В_НЕИЗВЕСТНОЙ_КОДИРОВКЕ]"
Загружает с файлы с сайта [http://]cao.ganbibi.com и сохраняет их в директории с программами (%ProgramFiles%) под именами от 100 до 120 с расширением EXE.
Подключается также к сайту [http://]bratsersrock.com.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на все диски; загружает из интернета и выполняет другие вредоносные модули.
Источник: Symantec.com
lastmylove
28.07.2007, 10:17
W32.Imautorun
При старте создаёт на всех дисках файлы с атрибутами "системный", "скрытый" и "только для чтения": msn.exe и autorun.inf. Последний содержит ссылку на msn.exe и обеспечивает автозагрузку при подключении диска к системе.
Создаёт в реестре следующий подключ:
HKEY_USERS\S-1-5-21-1607803123-1685539076-50495302-500\Software\VB and VBA Program Settings\adtuosa
Пытается загрузить файл с URL [http://]vstoo.cn/xxx/adtuo[УДАЛЕНО]
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на все доступные диски; загружает из интернета и выполняет другой потенциально вредоносный код.
Источник: Symantec.com
lastmylove
28.07.2007, 10:17
W32/Agobot-AIX
Распространяется копированием себя на совместно используемые сетевые ресурсы.
Также использует для распространения критические уязвимости в Windows, RealNetworks и Symantec, эксплуатация которых не требует участия пользователя: LSASS (MS04-011), SRVSVC (MS06-040), RPC-DCOM (MS04-012), ASN.1 (MS04-007), RealVNC (CVE-2006-2369) и Symantec (SYM06-010).
Открывает на компьютере "чёрный ход", подключаясь к определённым каналам IRC-сервера.
При первом запуске копирует себя в %System%\winins.exe.
Отключает доступ к сайтам антивирусных компаний. Для этого в файле hosts сопоставляет имена сайтов IP-адресу локальной машины:
127.0.0.1 www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 downloads1.kaspersky-labs.com
127.0.0.1 downloads2.kaspersky-labs.com
127.0.0.1 downloads3.kaspersky-labs.com
127.0.0.1 downloads4.kaspersky-labs.com
127.0.0.1 downloads5.kaspersky-labs.com
127.0.0.1 symantec.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.kaspersky-labs.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.trendmicro.com
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
В файле hosts удалить записи, отключающие доступ к антивирусным сайтам
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется посредством копирования себя на сетевые совместно используемые директории и эксплуатируя критические уязвимости в Windows к выполнению произвольного кода.
Ослабляет настройки безопасности системы.
Загружает из интернета другой вредоносный код.
Открывает в системе "чёрный ход".
lastmylove
28.07.2007, 10:18
Trojan.Firpage
Распространяется в файлах с именами route.exe или update.exe; может быть загружен пользователем из интернета и требует ручного запуска.
При первом запуске создаёт файл-сценарий на VBScript с атрибутами "системный", "скрытый", "только для чтения" и "архив":
C:\Documents and Settings\Administrator\Local Settings\Temp\vbe.vbe
Открывает в браузере по умолчанию страницу с сообщением об ошибке ([http://]www.route24.de/error[УДАЛЕНО])
Записывает ссылку на VBE-файл в раздел реестра, отвечающий за однократный запуск приложений при загрузке системы - RunOnce (после запуска записанных в этот раздел файлов система автоматически удаляет запись из реестра):
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"system32" = "WScript "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\vbe.vbe" [54 НЕОТОБРАЖАЕМЫХ СИМВОЛА]
Запущенный VBScript устанавливает стартовые страницы Microsoft Internet Explorer и Mozilla Firefox (если браузеры присутствуют в системе) на сайт [http://]www7.einfachstarten.com и удаляет себя.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Устанавливает новую стартовую страницу в браузерах Microsoft Internet Explorer и Mozilla Firefox на сайт [http://]www7.einfachstarten.com.
Источник: Symantec.com
lastmylove
28.07.2007, 10:18
Spyware.SpyPal
При установке создаёт директории:
%ProgramFiles%\SPSS
%ProgramFiles%\SPSS\data
%ProgramFiles%\SPSS\logs
%ProgramFiles%\SPSS\scrshot
Также создаёт файлы:
%System%\psreginf.ini
%UserProflie%\Local Settings\Temp\~DF[СЛУЧАЙНЫЕ СИМВОЛЫ].tmp
%ProgramFiles%\SPSS\apsvc.exe
%ProgramFiles%\SPSS\data\data.dat
%ProgramFiles%\SPSS\data\ps_demo_report.html
%ProgramFiles%\SPSS\data\reginf.ini
%ProgramFiles%\SPSS\data\testftpok.html
%ProgramFiles%\SPSS\data\usrproc.exe
%ProgramFiles%\SPSS\data\winserv.exe
%ProgramFiles%\SPSS\help.chm
%ProgramFiles%\SPSS\License.txt
%ProgramFiles%\SPSS\readme.txt
%ProgramFiles%\SPSS\scrshot\[СЛУЧАЙНОЕ ИМЯ].jpg
%ProgramFiles%\SPSS\unins000.dat
%ProgramFiles%\SPSS\unins000.exe
%System%\fltmc001.dat
%System%\fltmc002.dat
%System%\fltmc003.dat
%System%\reghost.exe
Записывает ссылку на себя в раздел реестра, отвечающий за автозапуск приложений при старте системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"reghost" = "%System%\reghost.exe"
Создаёт подключи реестра:
HKEY_CLASSES_ROOT\CLSID\{5883CA7C-B619-45C9-8E5D-DD6F7EA91785}
HKEY_CLASSES_ROOT\Interface\{FC279BC4-9E6E-4999-93E2-3AE39CCE2927}
HKEY_CLASSES_ROOT\Mapiprop.MAPIPropWrapper
HKEY_CLASSES_ROOT\TypeLib\{64DEBE33-C381-465B-A707-3F56C5B93470}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\SpyPal Spy Software_is1
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Шпионское приложение SpyPal v4.6.1 от Thinkertec.
Собирает следующую информацию:
URL посещённых веб-сайтов
Электронные письма
Переписка в ICQ, MSN, Yahoo! IM, AIM, Skype
Запускаемые приложения
Открываемые документы
Открываемые окна
Ввод с клавиатуры
Скриншоты (периодически)
Источник: Symantec.com
lastmylove
28.07.2007, 10:19
Adware.InstallProvider
При первом запуске создаёт следующие файлы:
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Cookies\[СЛУЧАЙНЫЙ ПОЛЬЗОВАТЕЛЬ]@84.243.251[2].txt
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ФАЙЛА].exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\Installer.exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\InstallOptions.dll
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Start Menu\Programs\Install Provider\InstallProvider.url
C:\Program Files\Install Provider\data.ini
C:\Program Files\Install Provider\Install Provider.ico
C:\Program Files\Install Provider\InstallProvider.dll
C:\Program Files\Install Provider\InstallProvider.dlldat
Создаёт в реестре следующие подключи:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Install Provider
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadMana ger
HKEY_LOCAL_MACHINE\SOFTWARE\Install Provider
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Install Provider v1.0.18.0, разработчик - Install Provider.
Представляет собой панель инструментов (Toolbar) с окном поиска в интернете. При попытке загрузить файл с использованием Install Provider, программа отображает рекламу веб-сайтов, содержащих другой adware: avsystemcare.com и drivecleaner.com.
Источник: Symantec.com
lastmylove
28.07.2007, 10:21
YahooSpyMon
При запуске создаёт директорию для хранения журнала информации Yahoo Messenger: %ProgramFiles%\YIMCS\logs.
Устанавливает следующие файлы:
%UserProfile%\Local Settings\Temp\DRDld\yimspymonitor.exe
%CommonProgramFiles%\Download Manager\Yahoo! Messenger Spy Monitor\LMDOWNLOADINFO.xml
%ProgramFiles%\YIMCS\data\dpnsvry.exe
%ProgramFiles%\YIMCS\data\emxfile003.dat
%ProgramFiles%\YIMCS\data\ps_demo_report.html
%ProgramFiles%\YIMCS\data\testftpok.html
%ProgramFiles%\YIMCS\data\vssvcy.exe
%ProgramFiles%\YIMCS\data\yimusr.ini
%ProgramFiles%\YIMCS\help.chm
%ProgramFiles%\YIMCS\License.txt
%ProgramFiles%\YIMCS\readme.txt
%ProgramFiles%\YIMCS\unins000.dat
%ProgramFiles%\YIMCS\unins000.exe
%ProgramFiles%\YIMCS\winyim.exe
%System%\adsnwy.exe
%System%\mxpvct22.dat
%System%\mxpvct25.dat
%System%\yimappini.ini
Создаёт ключи в реестре:
HKEY_ALL_USERS\Software\Digital River
HKEY_ALL_USERS\Software\Digital River\SoftwarePassport\Download Manager\6FFCFD13AF7A92143F5AD29D6134E432
HKEY_ALL_USERS\Software\Digital River\SoftwarePassport\eMatrixSoft\Yahoo! Messenger Spy Monitor
HKEY_CLASSES_ROOT\CLSID\{A4643A87-99A0-4404-9BC5-2322BDD61637}
HKEY_CLASSES_ROOT\CLSID\{A46E5261-9956-4767-88CA-DFCED050D09E}
HKEY_CLASSES_ROOT\CLSID\{A7EC2CD3-9941-4FD4-9D01-105DC16A4313}
HKEY_CLASSES_ROOT\Chilkat.Email2
HKEY_CLASSES_ROOT\Chilkat.EmailBundle2
HKEY_CLASSES_ROOT\Chilkat.MailMan2
HKEY_CLASSES_ROOT\ChilkatMail2.ChilkatEmail2
HKEY_CLASSES_ROOT\ChilkatMail2.ChilkatEmailBundle2
HKEY_CLASSES_ROOT\ChilkatMail2.ChilkatMailMan2
HKEY_CLASSES_ROOT\Interface\{06544919-F559-4AE5-9001-F903BD8A84E6}
HKEY_CLASSES_ROOT\Interface\{4340DF8E-D7A3-4675-BE74-80077B2B3E81}
HKEY_CLASSES_ROOT\Interface\{51A0888C-9970-44DE-8C2C-835BA870D06F}
HKEY_CLASSES_ROOT\Interface\{5ACAE4B8-62D9-4124-A58A-9B1258B77E99}
HKEY_CLASSES_ROOT\Interface\{7D37DED8-1945-4E42-A3FD-B9620E0AD8E3}
HKEY_CLASSES_ROOT\Interface\{C4C23B78-DB98-444C-B601-DCAC6EBBEC54}
HKEY_CLASSES_ROOT\Interface\{CCB7FB40-99EC-4678-9202-52798DA78ABA}
HKEY_CLASSES_ROOT\Interface\{D12FB216-99DA-4EB3-9CC0-C0F760B174A0}
HKEY_CLASSES_ROOT\Interface\{D56C1AF1-3FDE-471C-9BC2-C52515F260C1}
HKEY_CLASSES_ROOT\Interface\{E656B867-992C-4462-A27D-EBE604EC3A48}
HKEY_CLASSES_ROOT\TypeLib\{1DF3AFED-99E0-4474-9900-954B8FD24E86}
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку при старте системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"adsnwy" = "%System%\adsnwy.exe"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Yahoo Messenger! Spy Monitor, версия 6.4.3, от eMatrixSoft.
Записывает информацию из Yahoo Messenger! в файл журнала на локальном компьютере.
Источник: Symantec.com
lastmylove
28.07.2007, 10:21
Spyware.TypeTeller
При установке создаёт директорию "%CurrentFolder%\TypeTeller 2006". Создаёт файлы: #UL %CurrentFolder%\TypeTeller 2006\typeteller.exe %CurrentFolder%\TypeTeller 2006\typeteller.dll %CurrentFolder%\TypeTeller 2006\typeteller.txt %CurrentFolder%\TypeTeller 2006\affiliates.txt %CurrentFolder%\TypeTeller 2006\rebrandit.txt %CurrentFolder%\TypeTeller 2006\first.run %CurrentFolder%\TypeTeller 2006\readme.txt #/UL Записывает ссылку на себя в раздел автозагрузки приложений при старте системы: #UL HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"typeteller" = "%CurrentFolder%\TypeTeller 2006\typeteller.exe" #/UL
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Клавиатурный шпион. Сохраняет введённые с клавиатуры символы в файл журнала.
Источник: Symantec.com
lastmylove
28.07.2007, 10:22
Spyware.StealthChatMon
При первом запуске создаёт файлы:
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\AIMusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\ICQusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\MSNusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Skypeusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\SysAllDaySysMessenger.xs l
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Sysbk.bmp
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\SysMessenger.xsl
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\SystemChatErrors.txt
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\TestEmail.xml
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Yahoousers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SendEmail.exe
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemChatHelp.chm
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessenger.dll
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessenger.exe
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessengerUninstaller.ex e
C:\Documents and Settings\All Users\Application Data\SystemMessenger\xcacls.exe
Также создаёт директории для журналов переговоров:
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\AIM
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\ICQ
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\MSN
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Skype
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Users
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Yahoo
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"SystemMessenger" = "C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessenger.dll" rdl"
Создаёт в реестре подключ HKEY_LOCAL_MACHINE\SOFTWARE\SystemMessenger.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Stealth Chat Monitor, версия 1.5 (build 93); разработчик - Amplusnet.
Программа-перехватчик текстовых переговоров интернет-пейджеров AIM, ICQ, MSN, Skype, Yahoo с функцией отсылки собранных данных по заданному адресу.
Источник: Symantec.com
lastmylove
28.07.2007, 10:22
Spyware.IESecurityPro
При первом запуске создаёт следующие файлы:
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\IE Security help file.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\IE Security.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\Readme.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\Uninstall IE Security.lnk
%ProgramFiles%\IE Security
%ProgramFiles%\IE Security\alternate.html
%ProgramFiles%\IE Security\dfsrv.dll
%ProgramFiles%\IE Security\iesecpro.chm
%ProgramFiles%\IE Security\iesecpro.cnt
%ProgramFiles%\IE Security\iesecpro.dat
%ProgramFiles%\IE Security\iesecpro.dll
%ProgramFiles%\IE Security\iesecpro.exe
%ProgramFiles%\IE Security\iesecpro.hlp
%ProgramFiles%\IE Security\iesecpro.ini
%ProgramFiles%\IE Security\license.txt
%ProgramFiles%\IE Security\readme.txt
%ProgramFiles%\IE Security\Skins\BlueGlass\Master.bmp
%ProgramFiles%\IE Security\Skins\BlueGlass\Options.dat
%ProgramFiles%\IE Security\Skins\BlueIce\BG.JPG
%ProgramFiles%\IE Security\Skins\BlueIce\Master.bmp
%ProgramFiles%\IE Security\Skins\BlueIce\Options.dat
%ProgramFiles%\IE Security\Skins\BluePlastic\Master.bmp
%ProgramFiles%\IE Security\Skins\BluePlastic\Options.dat
%ProgramFiles%\IE Security\Skins\DarkGlass\Bkgnd.jpg
%ProgramFiles%\IE Security\Skins\DarkGlass\Master.bmp
%ProgramFiles%\IE Security\Skins\DarkGlass\Options.dat
%ProgramFiles%\IE Security\Skins\Desert\Master.bmp
%ProgramFiles%\IE Security\Skins\Desert\Options.dat
%ProgramFiles%\IE Security\Skins\Elegant\Master.bmp
%ProgramFiles%\IE Security\Skins\Elegant\Options.dat
%ProgramFiles%\IE Security\Skins\Golden\Master.bmp
%ProgramFiles%\IE Security\Skins\Golden\Options.dat
%ProgramFiles%\IE Security\Skins\GrayPlastic\Master.bmp
%ProgramFiles%\IE Security\Skins\GrayPlastic\Options.dat
%ProgramFiles%\IE Security\Skins\Ledenets\Master.bmp
%ProgramFiles%\IE Security\Skins\Ledenets\Options.dat
%ProgramFiles%\IE Security\Skins\LongHorn\Master.bmp
%ProgramFiles%\IE Security\Skins\LongHorn\Options.dat
%ProgramFiles%\IE Security\Skins\MacMetal\Master.bmp
%ProgramFiles%\IE Security\Skins\MacMetal\Options.dat
%ProgramFiles%\IE Security\Skins\MacOS\Biclose.bmp
%ProgramFiles%\IE Security\Skins\MacOS\BIMAX.BMP
%ProgramFiles%\IE Security\Skins\MacOS\BIMIN.BMP
%ProgramFiles%\IE Security\Skins\MacOS\Master.bmp
%ProgramFiles%\IE Security\Skins\MacOS\Options.dat
%ProgramFiles%\IE Security\Skins\Neutral\Master.bmp
%ProgramFiles%\IE Security\Skins\Neutral\Options.dat
%ProgramFiles%\IE Security\Skins\Neutral2\Master.bmp
%ProgramFiles%\IE Security\Skins\Neutral2\Options.dat
%ProgramFiles%\IE Security\Skins\Neutral3\Master.bmp
%ProgramFiles%\IE Security\Skins\Neutral3\Options.dat
%ProgramFiles%\IE Security\Skins\NextAlpha\Master.bmp
%ProgramFiles%\IE Security\Skins\NextAlpha\Options.dat
%ProgramFiles%\IE Security\Skins\Office2003\Master.bmp
%ProgramFiles%\IE Security\Skins\Office2003\Options.dat
%ProgramFiles%\IE Security\Skins\Retro\Master.bmp
%ProgramFiles%\IE Security\Skins\Retro\Options.dat
%ProgramFiles%\IE Security\Skins\Retro\WOOD.JPG
%ProgramFiles%\IE Security\Skins\Sand\Master.bmp
%ProgramFiles%\IE Security\Skins\Sand\Options.dat
%ProgramFiles%\IE Security\Skins\TheFrog\Bg.jpg
%ProgramFiles%\IE Security\Skins\TheFrog\Master.bmp
%ProgramFiles%\IE Security\Skins\TheFrog\Options.dat
%ProgramFiles%\IE Security\Skins\Winter2003\BG.JPG
%ProgramFiles%\IE Security\Skins\Winter2003\Master.bmp
%ProgramFiles%\IE Security\Skins\Winter2003\Options.dat
%ProgramFiles%\IE Security\Skins\XPLuna\Master.bmp
%ProgramFiles%\IE Security\Skins\XPLuna\Options.dat
%ProgramFiles%\IE Security\Skins\XPSilver\Master.bmp
%ProgramFiles%\IE Security\Skins\XPSilver\Options.dat
%ProgramFiles%\IE Security\ssc.exe
%ProgramFiles%\IE Security\unins000.dat
%ProgramFiles%\IE Security\unins000.exe
Создаёт в реестре следующие подключи:
HKEY_CLASSES_ROOT\CLSID\{49E0E0F0-5C30-11D4-945D-000000000000}
HKEY_CLASSES_ROOT\iesecpro.IESecurity
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{49E0E0F0-5C30-11D4-945D-000000000000}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Internet Explorer Security Pro_is1
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S SC
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SSC
HKEY_LOCAL_MACHINE\SOFTWARE\IE Security
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Отслеживает действия пользователя в Microsoft Internet Explorer
Источник: Symantec.com
lastmylove
28.07.2007, 10:23
Spyware.SysDetective
При установке создаёт следующие файлы:
%ProgramFiles%\Sys Detective+\file[(ДАТА)ММДДГГГГ][(ВРЕМЯ)ЧЧММСС].jpg
%ProgramFiles%\Sys Detective+\Makecab.exe
%ProgramFiles%\Sys Detective+\Manual\acehelp.htm
%ProgramFiles%\Sys Detective+\Manual\activating.htm
%ProgramFiles%\Sys Detective+\Manual\advance.htm
%ProgramFiles%\Sys Detective+\Manual\automatic_email.htm
%ProgramFiles%\Sys Detective+\Manual\capture.htm
%ProgramFiles%\Sys Detective+\Manual\contact_address.htm
%ProgramFiles%\Sys Detective+\Manual\edit_menu.htm
%ProgramFiles%\Sys Detective+\Manual\email_and_ftp_setting.htm
%ProgramFiles%\Sys Detective+\Manual\export_to_avi_window.htm
%ProgramFiles%\Sys Detective+\Manual\file_menu__save_as.htm
%ProgramFiles%\Sys Detective+\Manual\fpace.gif
%ProgramFiles%\Sys Detective+\Manual\help_menu.htm
%ProgramFiles%\Sys Detective+\Manual\index.htm
%ProgramFiles%\Sys Detective+\Manual\installing.htm
%ProgramFiles%\Sys Detective+\Manual\key_logging.htm
%ProgramFiles%\Sys Detective+\Manual\license_information.htm
%ProgramFiles%\Sys Detective+\Manual\main_browse_window.htm
%ProgramFiles%\Sys Detective+\Manual\menu.htm
%ProgramFiles%\Sys Detective+\Manual\pcspysoftware_logo.jpg
%ProgramFiles%\Sys Detective+\Manual\quick_start.htm
%ProgramFiles%\Sys Detective+\Manual\security.htm
%ProgramFiles%\Sys Detective+\Manual\slide_show.htm
%ProgramFiles%\Sys Detective+\Manual\style.css
%ProgramFiles%\Sys Detective+\Manual\tools_menu.htm
%ProgramFiles%\Sys Detective+\Manual\view_menu.htm
%ProgramFiles%\Sys Detective+\Manual\watch_list_window.htm
%ProgramFiles%\Sys Detective+\Manual\web_site_monitoring.htm
%ProgramFiles%\Sys Detective+\sysd.exe
%ProgramFiles%\Sys Detective+\unins000.dat
%ProgramFiles%\Sys Detective+\unins000.exe
%ProgramFiles%\Sys Detective+\__acelog.ndx
%System%\sd16win.dll
%System%\noaccess.htm
%System%\exclam.bmp
Создаёт пустые файлы:
%System%\ijl11.dll
%System%\KTKbdHk.dll
%System%\Msmapi32.ocx
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"regsvc" = "C:\Program Files\Sys Detective+\sysd"
Создаёт следующие подключи в реестре:
HKEY_ALL_USERS\Software\VB and VBA Program Settings\sysd
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Sys Detective+_is1
Также создаёт следующие пустые подключи:
HKEY_CLASSES_ROOT\Interface\{20C62CA2-15DA-101B-B9A8-444553540000}
HKEY_CLASSES_ROOT\Interface\{20C62CAD-15DA-101B-B9A8-444553540000}
HKEY_CLASSES_ROOT\Interface\{F49AC0B0-DF74-11CF-8E74-00A0C90F26F8}
HKEY_CLASSES_ROOT\Interface\{F49AC0B2-DF74-11CF-8E74-00A0C90F26F8}
HKEY_CLASSES_ROOT\MSMAPI.MAPIMessages
HKEY_CLASSES_ROOT\MSMAPI.MAPISession
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Программа Sys Detective+, v2.3.5 от Indian Shareware Pro.
Функционал программы:
Скриншоты
Клавиатурный шпион
Сбор URL посещённых веб-сайтов
Закрытие окон с определёнными подстроками в названиях
Блокирование доступа к некоторым веб-сайтам
Отправка собранной информации по электронной почте или через FTP
Отправка электронного письма с оповещением о том, что пользователь набрал на клавиатуре определённое слово
Источник: Symantec.com
lastmylove
28.07.2007, 10:23
Troj/IBot-A
При старте копирует себя в "\mdm.exe".
Записывает ссылку на себя в разделы реестра, обеспечивающие автозагрузку при каждом запуске системы:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run \Microsoft Office = \mdm.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \Microsoft Office = \mdm.exe
Отключает через реестр сервис DCOM: HKLM\SOFTWARE\Microsoft\Ole\EnableDCOM=N
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает на компьютере "чёрный ход", подключаясь к каналу на IRC-сервере для связи с атакующим.
lastmylove
28.07.2007, 10:23
Troj/DwnLdr-GXA
При запуске пытается внедрить свой код в новую копию svchost.exe.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Троянец-загрузчик. Загружает из интернета и выполняет другой вредоносный код: Mal/EncPk-C, Mal/Basine-A и Mal/Packer.
lastmylove
28.07.2007, 10:24
Troj/Enclag-A
При первом запуске копирует себя в C:\wsusupd.exe.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \ShareSearcher=C:\wsusupd.exe
Записывает трафик и информацию о соединениях в файл %System%\SFList.exe и периодически загружает собранную информацию на FTP-сервер.
Может создавать следующие ключи реестра:
HKLM\Software\Microsoft\Windows\CurrentVersion\"UID"
HKLM\Software\Microsoft\Windows\CurrentVersion\"LSpc"
HKLM\Software\Microsoft\Windows\CurrentVersion\"NVS"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Ведёт журнал сетевых соединений и трафика; периодически отсылает эту информацию на FTP-сервер атакующего.
lastmylove
28.07.2007, 10:24
Troj/Laqma-A
При первом запуске сохраняет себя как:
%System%\qm[СЛУЧАЙНЫЕ СИМВОЛЫ].exe
%System%\lanmanwrk.exe
Также создаёт файлы:
%System%\iexchg.dll
%System%\lanmandrv.sys
%System%\qmopt.dll
%System%\[ИСХОДНОЕ_ИМЯ_ФАЙЛА].jpg
Файл lanmandrv.sys также определяется как Troj/Laqma-A, и представляет собой руткит для сокрытия трояна в системе. Файл регистрируется как системный сервис "lanmandrv" с отображаемым именем "lanmandrv".
В реестре создаётся раздел "HKLM\SYSTEM\CurrentControlSet\Services\lanmandrv".
Может удалить из реестра ключ для предотвращения автозапуска ZwQueryService:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \ZwQueryService
Другое название вируса: Trojan-Downloader.Win32.Agent.bsh.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Найти и остановить сервис lanmandrv.
Действие
Загружает из интернета и выполняет дополнительный вредоносный код.
Ослабляет настройки безопасности системы.
Скрывает себя при помощи руткита.
lastmylove
28.07.2007, 10:25
Infostealer.Winotim
При запуске создаёт следующие файлы:
C:\l.dll
%ProgramFiles%\Common Files\WMI\.delll
%ProgramFiles%\Common Files\WMI\wminotify.dll
Также создаёт пустые файлы, которые могут быть впоследствии удалены:
%ProgramFiles%\Common Files\WMI\.sets
%ProgramFiles%\Common Files\WMI\.un
%ProgramFiles%\Common Files\WMI\dirs.idx
Файл ".idx" во всех директориях
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad\"WMI" = "{00954FA0-3B00-1FCC-00F3-040664009C02}"
Добавляет к процессу explorer.exe DLL-файл "%ProgramFiles%\Common Files\WMI\wminotify.dll" и перезагружает explorer.exe.
Собирает полный список файлов и директорий на всех доступных дисках и записывает их в "%ProgramFiles%\Common Files\WMI\dirs.idx". Может загружать некоторые из найденных файлов на FTP-сервер [ftp://]wgsmedia.net.
Список расширений файлов, интересующих трояна:
exe
dll
pif
doc
sys
hlp
avi
mp3
flv
zip
rar
gz
cab
chm
fon
ttf
cur
wav
gif
msi
mui
bmp
Загружает и выполняет файл [ftp://]wgsmedia.net/public_html/smarty/load[УДАЛЕНО].
Может также загружать файлы с командами атакующего с FTP-сервера [ftp://]wgsmedia.net.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Перехватывает сетевой трафик на захваченном компьютере и периодически отправляет его на удалённый FTP-сервер.
Открывает в системе "чёрный ход".
Загружает из интернета и выполняет дополнительный вредоносный код.
Источник: Symantec.com
Trojan.VBS.Envoy
Признаки:
При запуске троянец удаляет все файлы со всех логических дисков на зараженном компьютере кроме файлов с расширениями:
*.exe
*.com
*.dll
После чего в цикле отображает следующее сообщение:
http://images.kaspersky.com/ru/pictures/virus/21779773.png
Спокойно сносится антивирем.
lastmylove
02.08.2007, 14:01
Trojan.Farfli
Троян может попасть в систему со следующих URL: #UL [http://]install1.ring520.org/kk[УДАЛЕНО] [http://]install2.ring520.org/kk[УДАЛЕНО] [http://]install3.ring520.org/kk[УДАЛЕНО] [http://]install4.ring520.org/kk[УДАЛЕНО] #/UL При запуске записывает следующие файлы: #UL %SYSDIR%\[СЛУЧАЙНОЕ_ИМЯ].dll %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_2].sys %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_3].sys #/UL Создаёт файл: %UserProfile%\Favorites\[КИТАЙСКИЕ_СИМВОЛЫ].url Записывает в "Избранное" Microsoft Internet Explorer ссылку http://www.6781.com/?001. Создаёт следующие записи в реестре: #UL HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Cl ass\{8ECC055D-047F-11D1-A537-0000F8753ED1} HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IE4\"Main"= [СЛУЧАЙНОЕ_ИМЯ] #/UL Пытается загрузить файл с URL [http://]tmp.farfly.org/rpt[r[УДАЛЕНО]. Оповещает атакующего о факте захвата системы, подключаясь к URL [http://]tmp.farfly.org/tj/f3.[УДАЛЕНО]. Проверяет файл %Sysdir%\drivers\etc\hosts на предмет записей, содержащих следующие строки: #UL 9991. 2345. 7322. 7255. 6781. #/UL Меняет обозначение IP-адреса локальной машины со 127.0.0.1 на 127.0.0.2: #UL 127.0.0.2 localhost #/UL Устанавливает стартовую страницу Microsoft Internet Explorer на один из URL: #UL [http://]www.baidu.com/inde[УДАЛЕНО] [http://]www.kzdh.com[УДАЛЕНО] #/UL www.7255.com/?g about.blank.la?g
Защита
Троян может попасть в систему со следующих URL: #UL [http://]install1.ring520.org/kk[УДАЛЕНО] [http://]install2.ring520.org/kk[УДАЛЕНО] [http://]install3.ring520.org/kk[УДАЛЕНО] [http://]install4.ring520.org/kk[УДАЛЕНО] #/UL При запуске записывает следующие файлы: #UL %SYSDIR%\[СЛУЧАЙНОЕ_ИМЯ].dll %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_2].sys %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_3].sys #/UL Создаёт файл: %UserProfile%\Favorites\[КИТАЙСКИЕ_СИМВОЛЫ].url Записывает в "Избранное" Microsoft Internet Explorer ссылку http://www.6781.com/?001. Создаёт следующие записи в реестре: #UL HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Cl ass\{8ECC055D-047F-11D1-A537-0000F8753ED1} HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IE4\"Main"= [СЛУЧАЙНОЕ_ИМЯ] #/UL Пытается загрузить файл с URL [http://]tmp.farfly.org/rpt[r[УДАЛЕНО]. Оповещает атакующего о факте захвата системы, подключаясь к URL [http://]tmp.farfly.org/tj/f3.[УДАЛЕНО]. Проверяет файл %Sysdir%\drivers\etc\hosts на предмет записей, содержащих следующие строки: #UL 9991. 2345. 7322. 7255. 6781. #/UL Меняет обозначение IP-адреса локальной машины со 127.0.0.1 на 127.0.0.2: #UL 127.0.0.2 localhost #/UL Устанавливает стартовую страницу Microsoft Internet Explorer на один из URL: #UL [http://]www.baidu.com/inde[УДАЛЕНО] [http://]www.kzdh.com[УДАЛЕНО] www.7255.com/?g about.blank.la?g #/UL
Действие
Загружает в систему дополнительный вредоносный код; заменяет стартовую страницу Microsoft Internet Explorer.
Источник: Symantec.com
lastmylove
02.08.2007, 14:03
Troj/Agent-FZF
При первом запуске создаёт файл %System%\vyoaudx.dll. Файл определяется как Troj/SpamTh-Gen.
Создаёт в реестре запись, обеспечивающую автозагрузку при каждом запуске системы:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\SharedTaskScheduler\{2C1CD3D7-86AC-4068-93BC-A02304B25319}="DCOM Server 25319"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\She llServiceObjectDelayLoad\"DCOM Server 25319"="{2C1CD3D7-86AC-4068-93BC-A02304B25319}"
Регистрирует файл vyoaudx.dll как COM-объект, создавая раздел реестра HKCR\CLSID\{2C1CD3D7-86AC-4068-93BC-A02304B25319}.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает "чёрный ход", предоставляющий атакующему контроль над захваченной системой.
lastmylove
02.08.2007, 14:04
Trojan.Virantix
Использует мутекс {393921-e939391-3919139-3d3a738-11} для проверки наличия своей копии в памяти.
Копирует себя как %System%/WinAvX.exe.
Записывает ссылку на себя в разделы реестра, обеспечивающие автозагрузку после каждого запуска системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"WinAVX" = "%System%/WinAvX.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "Explorer.exe %System%/WinAvX.exe"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Windows\CurrentVersion\Run\"WinAVX" = "%System%/WinAvX.exe"
Меняет через реестр различные настройки безопасности интернета:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\"EnableBalloonTips" = "1"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Internet Explorer\Main\"Enable Browser Extensions" = "yes"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Internet Explorer\Main\"Search Bar" = "http://www.google.com/ie"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\Advanced\"EnableBalloonTips" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\0\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\0\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\0\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\0\"1804" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\1\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\1\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\2\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\2\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\2\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\2\"1804" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\3\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\3\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\3\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\4\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\4\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\4\"1200" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\4\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\4\"1608" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\Zones\4\"1804" = "1"
Отключает через реестр некоторые системные инструменты и ослабляет настройки системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\"NoControlPanel" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\system\"DisableRegistryTools" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\system\"DisableTaskMgr" = "1"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Windows\CurrentVersion\Poli cies\Explorer\"NoControlPanel" = "1"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Windows\CurrentVersion\Poli cies\Explorer\"NoWindowsUpdate" = "1"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Windows\CurrentVersion\Poli cies\system\"DisableRegistryTools" = "1"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Windows\CurrentVersion\Poli cies\system\"DisableTaskMgr" = "1"
Модифицирует через реестр настройки Windows Firewall:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S haredAccess\Parameters\FirewallPolicy\DomainProfil e\AuthorizedApplications\List\"%Windir%\system32\winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S haredAccess\Parameters\FirewallPolicy\StandardProf ile\AuthorizedApplications\List\"%Windir%\system32\winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\S haredAccess\Parameters\FirewallPolicy\DomainProfil e\AuthorizedApplications\List\"%Windir%\system32\winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\S haredAccess\Parameters\FirewallPolicy\StandardProf ile\AuthorizedApplications\List\"%Windir%\system32\winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\DomainPr ofile\AuthorizedApplications\List\"%Windir%\system32\winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List\"%Windir%\system32\winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
Заменяет поисковый URL, страницу поиска и URL поиска в Microsoft Internet Explorer:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Default_Search_URL" = "http://www.google.com/ie"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Search Page" = "http://www.google.com"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Start Page" = "http://www.google.com"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Internet Explorer\Main\"Start Page" = "http://www.google.com"
HKEY_USERS\S-1-5-21-1961063573-973683775-492528769-500\Software\Microsoft\Internet Explorer\Main\"Search Page" = "http://www.google.com"
Модифицирует следующие ключи реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\gopher\shell\o pen\command\"@" = ""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\ope n\command\"@" = ""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\https\shell\op en\command\"@" = ""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S haredAccess\Epoch\"Epoch" = "0x000027B0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Epoch\"Epoch" = "0x000027B0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.shtml\"@" = "htmlfile"
Каждые 5 минут отображает сообщение об угрозе spyware:
Заголовок: Windows Security Alert Сообщение:
Warning! Potential Spyware Operation!
Your computer is making unauthorized copies of your system and
Internet files. Run full scan now to pervent any unathorised access
to your files! Click here to download spyware remover ...
Может отображать сообщение о том, что компьютер заражен, в течение 4 минут после запуска системы:
Your computer is infected!
Подключается к URL:
[http://]go.winantivirus.com/MTY2NjU=/2/6018/ax=0/ed=1/ex=1/1[УДАЛЕНО].
Периодически пытается открыть URL и загрузить оттуда файлы:
[http://]freerealitympegs.com/movie/23/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/21/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/20/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/33/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/17/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/16/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/13/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/28/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/32/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/39/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/6/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/25/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/34/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/4/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/3/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/24/293/1[УДАЛЕНО]
[http://]freerealitympegs.com/movie/2/293/1[УДАЛЕНО]
Отключает доступ к сайтам антивирусных компаний, баннерной рекламы и обновлению Windows. Для этого сопоставляет имена этих сайтов локальному IP-адресу 192.168.200.3 в файле %System%\drivers\etc\hosts:
192.168.200.3 ad.doubleclick.net
192.168.200.3 ad.fastclick.net
192.168.200.3 ads.fastclick.net
192.168.200.3 ar.atwola.com
192.168.200.3 atdmt.com
192.168.200.3 avp.ch
192.168.200.3 avp.com
192.168.200.3 avp.ru
192.168.200.3 awaps.net
192.168.200.3 banner.fastclick.net
192.168.200.3 banners.fastclick.net
192.168.200.3 ca.com
192.168.200.3 click.atdmt.com
192.168.200.3 clicks.atdmt.com
192.168.200.3 customer.symantec.com
192.168.200.3 dispatch.mcafee.com
192.168.200.3 download.mcafee.com
192.168.200.3 download.microsoft.com
192.168.200.3 downloads-us1.kaspersky-labs.com
192.168.200.3 downloads-us2.kaspersky-labs.com
192.168.200.3 downloads-us3.kaspersky-labs.com
192.168.200.3 downloads.microsoft.com
192.168.200.3 downloads1.kaspersky-labs.com
192.168.200.3 downloads2.kaspersky-labs.com
192.168.200.3 downloads3.kaspersky-labs.com
192.168.200.3 downloads4.kaspersky-labs.com
192.168.200.3 engine.awaps.net
192.168.200.3 f-secure.com
192.168.200.3 fastclick.net
192.168.200.3 ftp.avp.ch
192.168.200.3 ftp.downloads1.kaspersky-labs.com
192.168.200.3 ftp.downloads2.kaspersky-labs.com
192.168.200.3 ftp.downloads3.kaspersky-labs.com
192.168.200.3 ftp.f-secure.com
192.168.200.3 ftp.kasperskylab.ru
192.168.200.3 ftp.sophos.com
192.168.200.3 go.microsoft.com
192.168.200.3 ids.kaspersky-labs.com
192.168.200.3 kaspersky-labs.com
192.168.200.3 kaspersky.com
192.168.200.3 liveupdate.symantec.com
192.168.200.3 liveupdate.symantecliveupdate.com
192.168.200.3 mast.mcafee.com
192.168.200.3 mcafee.com
192.168.200.3 media.fastclick.net
192.168.200.3 microsoft.com
192.168.200.3 msdn.microsoft.com
192.168.200.3 my-etrust.com
192.168.200.3 nai.com
192.168.200.3 networkassociates.com
192.168.200.3 norton.com
192.168.200.3 office.microsoft.com
192.168.200.3 pandasoftware.com
192.168.200.3 phx.corporate-ir.net
192.168.200.3 rads.mcafee.com
192.168.200.3 secure.nai.com
192.168.200.3 securityresponse.symantec.com
192.168.200.3 service1.symantec.com
192.168.200.3 sophos.com
192.168.200.3 spd.atdmt.com
192.168.200.3 support.microsoft.com
192.168.200.3 symantec.com
192.168.200.3 trendmicro.com
192.168.200.3 update.symantec.com
192.168.200.3 updates.symantec.com
192.168.200.3 updates1.kaspersky-labs.com
192.168.200.3 updates2.kaspersky-labs.com
192.168.200.3 updates3.kaspersky-labs.com
192.168.200.3 updates4.kaspersky-labs.com
192.168.200.3 updates5.kaspersky-labs.com
192.168.200.3 us.mcafee.com
192.168.200.3 vil.nai.com
192.168.200.3 viruslist.com
192.168.200.3 viruslist.ru
192.168.200.3 virusscan.jotti.org
192.168.200.3 virustotal.com
192.168.200.3 windowsupdate.microsoft.com
192.168.200.3 www.avp.ch
192.168.200.3 www.avp.com
192.168.200.3 www.avp.ru
192.168.200.3 www.awaps.net
192.168.200.3 www.ca.com
192.168.200.3 www.f-secure.com
192.168.200.3 www.fastclick.net
192.168.200.3 www.grisoft.com
192.168.200.3 www.kaspersky-labs.com
192.168.200.3 www.kaspersky.com
192.168.200.3 www.kaspersky.ru
192.168.200.3 www.mcafee.com
192.168.200.3 www.microsoft.com
192.168.200.3 www.my-etrust.com
192.168.200.3 www.nai.com
192.168.200.3 www.networkassociates.com
192.168.200.3 www.pandasoftware.com
192.168.200.3 www.sophos.com
192.168.200.3 www.symantec.com
192.168.200.3 www.symantec.com
192.168.200.3 www.trendmicro.com
192.168.200.3 www.viruslist.com
192.168.200.3 www.viruslist.ru
192.168.200.3 www.virustotal.com
192.168.200.3 www3.ca.com
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Удалить из файла %System%\drivers\etc\hosts записи, блокирующие доступ к обновлениям антивирусных сайтов
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Может загружать из интернета и выполнять дополнительный вредоносный код; ослабляет настройки безопасности системы, блокирует доступ к обновлениям антивирусов и Windows.
Источник: Symantec.com
lastmylove
02.08.2007, 14:07
W32.Deletemusic
При первом запуске создаёт файлы:
%System%\config\csrss.exe
%Windir%\media\arena.exe
%System%\logon.bat
%System%\config\autorun.inf
Копирует себя в корни всех дисков под именем csrss.exe; там же создаёт файл автозапуска autorun.inf, содержащий ссылку на csrss.exe.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce\"Worms" = "C:\WINDOWS\system32\logon.bat"
Через реестр удаляет из меню "Настройка" пункт "Свойства папки", а также запрещает доступ к Диспетчеру задач:
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Policies\Explorer\"NoFolderOptions" = "1"
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Policies\System\"DisableTaskMgr" = "1"
Удаляет на всех дисках файлы с расширением MP3.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на все доступные диски; удаляет с компьютера все MP3-файлы.
Источник: Symantec.com
lastmylove
02.08.2007, 14:08
W32.Falsu.E
При первом запуске создаёт файлы:
%Windir%\Win.exe
%Windir%\Winini.scr
%Windir%\msfck.exe
%Windir%\mswin32.exe
%Windir%\winlog.pif
%Windir%\sysreset.scr
%Windir%\sysoff.pif
%Windir%\taskbar.exe
%Windir%\tasker.pif
%Windir%\thefuck.scr
%Windir%\lsass.exe
[ДИРЕКТОРИЯ mIRC]\macbet.mrc
Записывает ссылку на себя в реестр, обеспечивая автозагрузку при каждом запуске Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"WinExec"="%Windir%\lsass.exe"
Создает в директории загрузок mIRC файл:
[ДИРЕКТОРИЯ mIRC]\download\fotos.jpg.pif
Если директории download нет, создаёт следующий файл:
[ДИРЕКТОРИЯ MIRC]\porn_in_msn.txt.pif
Изменяет настройки IRC-клиента mIRC (файл [ДИРЕКТОРИЯ MIRC]\mirc.ini).
Создаёт свои копии в директории %Windir\Share:
%Windir%\Share\blazilian_girls.scr
%Windir%\Share\my_sister_fucking.pif
%Windir%\Share\sex_in_the_city.scr
%Windir%\Share\keygen_winxp.exe
%Windir%\Share\crack_adobe_acrobat_7.exe
%Windir%\Share\keygen_WinVista.exe
%Windir%\Share\rack_activation_winxp.exe
%Windir%\Share\keygen_zonealarm.exe
%Windir%\Share\dvdcopy_crack.exe
%Windir%\Share\wwwhack_patch.exe
%Windir%\Share\winme_changes.pif
%Windir%\Share\win_9x_commands.pif
%Windir%\Share\adobe_golive_keygen.pif
%Windir%\Share\delphi2005_crack.pif
%Windir%\Share\delphi8_torrent.pif
%Windir%\Share\isualbasic_crack.pif
%Windir%\Share\winrar_patch.pif
%Windir%\Share\wwwfileshare.scr
%Windir%\Share\netbus_crack.scr
Открывает через реестр доступ к вышеуказанной директории для P2P-клиентов Kazaa, а также отключает некоторые настройки Kazaa:
HKEY_CURRENT_USER\Software\Kazaa\LocalContent\"DisableSharing" = "0"
HKEY_CURRENT_USER\Software\Kazaa\LocalContent\"dir0" = "012345:%Windri%%Windri%\Share"
HKEY_CURRENT_USER\Software\Kazaa\LocalContent\"dir1" = "012345:C:\"
HKEY_CURRENT_USER\Software\Kazaa\LocalContent\"dir2" = "012345:%Windri%%Windri%\Share"
HKEY_CURRENT_USER\Software\Kazaa\LocalContent\"dir3" = "012345:C:\"
HKEY_CURRENT_USER\Software\Kazaa\ResultsFilter\"virus_filter" = "0"
HKEY_CURRENT_USER\Software\Kazaa\ResultsFilter\"firewall_filter" = "0"
Загружает трояна Infostealer.Bancos с трёх URL, начинающихся с [http://]megahost2.pisem.su/imgfree/skybi.
В случае успеха сохраняет полученные файлы как
%System%\svchosts.dll
%System%\svchostss.exe
%System%\winexenet.exe
Завершает процессы, принадлежащие файлам, содержащим в именах следующие строки и подстроки:
avp32.exe
avpmon.exe
zonealarm.exe
vshwin32.exe
vet95.exe
tbscan.exe
serv95.exe
Nspclean.exe
clrav.com
scan32.exe
rav7.exe
navw.exe
outpost.exe
nmain.exe
navnt.exe
mpftray.exe
lockdown2000.exe
icssuppnt.exe
icload95.exe
iamapp.exe
findviru.exe
f - agnt95.exe
dv95.exe
dv95_o.exe
claw95ct.exe
cfiaudit.exe
avwupd32.exe
avptc32.exe
_avp32.exe
avgctrl.exe
apvxdwin.exe
_avpcc.exe
avpcc.exe
wfindv32.exe
vsecomr.exe
tds2 - nt.exe
sweep95.exe
EFINET32.EXE
scrscan.exe
safeweb.exe
persfw.exe
navsched.exe
nvc95.exe
nisum.exe
navlu32.exe
ALOGSERV
AMON9X
AVGSERV9
AVGW
avkpop
avkservice
AvkServ
avkwctl9
AVXMONITOR9X
AVXMONITORNT
AVXQUAR
moolive.exe
jed.exe
icsupp95.exe
ibmavsp.exe
frw.exe
f - stopw.exe
espwatch.exe
procexp
filemon.exe
regmon.exe
dvp95.exe
cfiadmin.exe
avwin95.exe
avpm.exe
avp.exe
ave32.exe
anti - trojan.exe
webscan.exe
webscanx.exe
vsscan40.exe
tds2 - 98. exe
SymProxySvc
SYMTRAY
TAUMON
TCM
TDS - 3
TFAK
vbcmserv
VbCons
VIR - HELP
VPC32
VPTRAY
VSMAIN
vsmon
WIMMUN32
WGFE95
WEBTRAP
WATCHDOG
WrAdmin
sphinx.exe
scanpm.exe
rescue.exe
pcfwallicon.exe
pavcl.exe
nupgrade.exe
navwnt.exe
navapw32.exe
luall.exe
iomon98.exe
icmoon.exe
fprot.exe
f - prot95.exe
esafe.exe
cleaner3.exe
IBMASN.EXE
AVXW
cfgWiz
CMGRDIAN
CONNECTIONMONITOR
CPDClnt
DEFWATCH
CTRL
defalert
defscangui
DOORS
EFPEADM
ETRUSTCIPE
EVPN
EXPERT
fameh32
fch32
fih32
blackice.exe
avsched32.exe
avpdos32.exe
avpnt.exe
avconsol.exe
ackwin32.exe
NWTOOL16
pccwin97
PROGRAMAUDITOR
POP3TRAP
PROCESSMONITOR
PORTMONITOR
POPROXY
pcscan
pcntmon
pavproxy
PADMIN
pview95
rapapp.exe
REALMON
RTVSCN95
vsstat.exe
vettray.exe
tca.exe
smc.exe
scan95.exe
rav7win.exe
pccwin98.exe
KPFW32.EXE
ADVXDWIN
padmin.exe
normist.exe
navw32.exe
n32scan.exe
lookout.exe
iface.exe
icloadnt.exe
SPYXX
SS3EDIT
SweepNet
iamserv.exe
fp - win.exe
f - prot.exe
ecengine.exe
cleaner.exe
cfind.exe
blackd.exe
RULAUNCH
sbserv
SWNETSUP
WrCtrl
avpupd.exe
avkserv.exe
autodown.exe
_avpm.exe
AvpM.exe
regedit.exe
msconfig.exe
FPROT95.EXE
sfc.exe
regedt32.exe
offguard.exe
pav.exe
pavmail.exe
per.exe
perd.exe
pertsk.exe
perupd.exe
pervac.exe
pervacd.exe
th.exe
th32.exe
th32upd.exe
thav.exe
thd.exe
thd32.exe
thmail.exe
alertsvc.exe
amon.exe
kpf.exe
antivir
avsynmgr.exe
cfinet.exe
cfinet32.exe
icmon.exe
lockdownadvanced.exe
lucomserver.exe
mcafee
navapsvc.exe
navrunr.exe
nisserv.exe
nsched32.exe
pcciomon.exe
pccmain.exe
pview95.exe
Avnt.exe
Claw95cf.exe
Dvp95_0.exe
Vscan40.exe
Icsuppnt.exe
Jedi.exe
N32scanw.exe
Pavsched.exe
Pavw.exe
Avrep32.exe
Monitor.exe
fsgk32
fsm32
fsma32
fsmb32
gbmenu
GBPOLL
GENERICS
GUARD
IAMSTATS
ISRV95
LDPROMENU
LDSCAN
LUSPT
MCMNHDLR
MCTOOL
MCUPDATE
MCVSRTE
MGHTML
MINILOG
MCVSSHLD
MCAGENT
MPFSERVICE
MWATCH
NeoWatchLog
NVSVC32
NWService
NTXconfig
NTVDM
ntrtscan
npssvc
npscheck
netutils
ndd32
NAVENGNAVEX15
notstart.exe
zapro.exe
pqremove.com
BullGuard
CCAPP.EXE
vet98.exe
VET32.EXE
VCONTROL.EXE
claw95.exe
ANTS
ATCON
ATUPDATER
ATWATCH
AutoTrace
AVGCC32
AvgServ
AVWINNT
fnrb32
fsaa
fsav32
ZAP.EXE
ZAPD.EXE
ZAPPRG.EXE
ZAPS.EXE
ZCAP.EXE
pfwagent.exe
pfwcon.exe
zlclient.exe
Пытается распространяться через mIRC в файле porn_in_msn.txt.pif, обращаясь к пользователям со словами "Hutley i'm here!".
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Распространяется через mIRC, предлагая себя пользователям как файл, а также через файлообменную сеть Kazaa, открывая директорию %Windows%\Share для общего доступа из этой сети.
Загружает и выполняет Infostealer.Bancos.
Завершает антивирусные процессы.
Источник: Symantec.com
lastmylove
02.08.2007, 14:08
W32.Romariory@mm
При первом запуске копирует себя под следующими именами:
%Windir%\winlogon.exe
%System%\msvbvm60.dll.exe
C:\explorer.exe
%UserProfile%\Application Data\Emma.exe
%UserProfile%\Application Data\Alisa.exe
%UserProfile%\My Documents\Mario Bross.exe
%UserProfile%\My Documents\Solitaire Card.exe
%UserProfile%\My Documents\Minesweeper.exe
%System%\PANGKALP1NANG.EXE
%System%\SMUNSA_PKP_GAME.EXE
C:\Documents and Settings\All Users\Documents\Bola Pantul.exe
C:\Documents and Settings\All Users\Documents\MyHearts.exe
C:\Documents and Settings\All Users\Documents\FreeCard.exe
%SystemDrive%\Game\Minesweeper.exe
%SystemDrive%\Game\My Heart.exe
%SystemDrive%\Game\Bola.exe
%SystemDrive%\Game\Kartu.exe
%SystemDrive%\Game\Legend.exe
%SystemDrive%\Game\Smart.exe
%SystemDrive%\Game\Crazy Mouse.exe
%SystemDrive%\Game\Text Animation.exe
%SystemDrive%\Game\Pink Panther.exe
%SystemDrive%\Game\Start Hide.exe
%SystemDrive%\Game\XP Button.exe
%SystemDrive%\Game\Goncang.exe
%SystemDrive%\Game\Kelap Kelip.exe
%SystemDrive%\Game\Layar Jatuh.exe
%SystemDrive%\Game\Dark Screen.exe
%SystemDrive%\Mario.exe
%UserProfile%\Application Data\Emira.ini
%UserProfile%\Application Data\Aliciana.htt
Создаёт следующие файлы:
%Windir%\Tasks\At1.job (задача для ежедневного запуска по расписанию)
%Temp%\inf[СЛУЧАЙНЫЕ_СИМВОЛЫ].tmp (чистая копия игры Super Mario Brothers)
C:\Program Files\mario.exe (чистая копия игры Super Mario Brothers)
%SystemDrive%\xplorer.exe
%SystemDrive%\desktop.ini
%SystemDrive%\Alicia.htt
Добавляет ссылки на себя в раздел реестра, обеспечивающий автозапуск приложений при каждом старте Windows:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"wptkjzmep" = "%Windir%\winlogon.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"SmansaApp" = "%Windir%\winlogon.exe"
Модифицирует ключи реестра, обеспечивающие автозапуск при каждом старте Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "explorer.exe "C:\explorer.exe""
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "%System%\userinit.exe, C:\explorer.exe"
Устанавливает себя через реестр в качестве приложения, обеспечивающего запуск исполняемых файлов .bat, .com, .pif, and .scr:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\movfile\shell\ open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MPEG File\shell\open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\shell\ open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\lnkfile\shell\ open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\ open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\piffile\shell\ open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile\shell\ open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile\shell\ open\command\"(Default)" = "C:\explorer.exe" "%1" %*"
Ослабляет через реестр настройки безопасности системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT\SystemRestore\"DisableConfig" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT\SystemRestore\"DisableSR" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\SuperHidden\"UncheckedValue" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\SuperHidden\"CheckedValue" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\SuperHidden\"DefaultValue" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\CabinetState\"FullPath" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\CabinetState\"FullPathAddress" = "1"
Устанавливает через реестр стартовую страницу Internet Explorer на статью в Wikipedia об игре "Front Mission 3":
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "http://en.wikipedia.org/wiki/Front_Mission_3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Start Page" = "http://en.wikipedia.org/wiki/Front_Mission_3"
Создаёт в реестре записи, позволяющие ему запускаться в "Безопасном режиме":
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Sa feBoot\"AlternateShell" = "C:\explorer.exe"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Sa feBoot\"AlternateShell" = "C:\explorer.exe"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\Sa feBoot\"AlternateShell" = "C:\explorer.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\"AlternateShell" = "C:\explorer.exe"
Модифицирует в реестре следующие записи:
HKEY_CURRENT_USER\Control Panel\International\"sCountry" = "Mr[УДАЛЕНО]"
HKEY_CURRENT_USER\Control Panel\International\"sCurrency" = "Mr[УДАЛЕНО]"
HKEY_CURRENT_USER\Control Panel\International\"s1159" = "C++"
HKEY_CURRENT_USER\Control Panel\International\"s2359" = "C++"
HKEY_CURRENT_USER\Software\Microsoft\MS Setup (ACME)\User Info\"DefCompany" = "Mr[УДАЛЕНО]"
HKEY_CURRENT_USER\Software\Microsoft\MS Setup (ACME)\User Info\"DefName" = "Mr[УДАЛЕНО]"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\"BackBitmapShell" = "C:\WINDOWS\Web\Wallpaper\Bliss.bmp"
Копирует себя на съёмные, сетевые и совместно используемые диски под именами:
\Game\Minesweeper.exe
\Game\My Heart.exe
\Game\Bola.exe
\Game\Kartu.exe
\Game\Legend.exe
\Game\Smart.exe
\Game\Crazy Mouse.exe
\Game\Text Animation.exe
\Game\Pink Panther.exe
\Game\Start Hide.exe
\Game\XP Button.exe
\Game\Goncang.exe
\Game\Kelap Kelip.exe
\Game\Layar Jatuh.exe
\Game\Dark Screen.exe
\Mario.exe
\xplorer.exe
\Alicia.htt
\desktop.ini
Использует стандартные функции Windows (MAPI) для рассылки своих копий по электронной почте.
Тема письма берётся случайным образом из одной из тем писем в почтовом ящике пользователя.
Тело письма предлагает поиграть в игру Mario Brothers, прикреплённую во вложении:
"Hi There, Do You Like Mario Bross ? Test it, and you'll like it ;] !".
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием себя на съёмные диски, совместно используемые сетевые ресурсы, а также рассылает себя по электронной почте.
Ослабляет настройки безопасности системы.
Маскирует себя под игру Super Mario Brothers (содержит копию игры.
Псевдонимы: W32/Romario-A [Sophos], W32/Romario@M [McAfee]
Источник: Symantec.com
lastmylove
02.08.2007, 14:09
W32/Sdbot-DFO
При запуске копирует себя в системную директорию Windows (%System%) под именем alg32.exe.
Записывает ссылку на себя в разделы реестра, обеспечивающие автозагрузку при каждом запуске Windows:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run \"Office Monitor" = "%System%\alg32.exe" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \"Office Monitor" = "%System%\alg32.exe"
Отключает сервис DCOM:
HKLM\SOFTWARE\Microsoft\Ole\"EnableDCOM" = "N".
Подключается к IRC-серверу для приёма команд от атакующего.
Может связываться с удалённым сервером по HTTP.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Открывает "чёрный ход" на захваченном компьютере, подключаясь к IRC-серверу.
lastmylove
02.08.2007, 14:10
PCCleaner
Приложение устанавливается пользователем вручную.
Сканирует систему и выводит отчёт о несуществующих угрозах, предлагая купить зарегистрированную версию для их удаления.
При инсталляции создаёт следующие файлы:
C:\Documents and Settings\All Users\Start Menu\Programs\PCCleaner2007\PCCleaner2007.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\PCCleaner2007\Uninstall PCCleaner2007.lnk
%ProgramFiles%\PCCleaner2007\Appbase\AE_CD_Cr.dat
%ProgramFiles%\PCCleaner2007\Appbase\AReadr4.dat
%ProgramFiles%\PCCleaner2007\Appbase\AReadr5.dat
%ProgramFiles%\PCCleaner2007\Appbase\ASDSEEpv.dat
%ProgramFiles%\PCCleaner2007\Appbase\ASPack.dat
%ProgramFiles%\PCCleaner2007\Appbase\Babylon.dat
%ProgramFiles%\PCCleaner2007\Appbase\BDelphi5.dat
%ProgramFiles%\PCCleaner2007\Appbase\CatchUp.dat
%ProgramFiles%\PCCleaner2007\Appbase\CBuildr5.dat
%ProgramFiles%\PCCleaner2007\Appbase\CCGA.dat
%ProgramFiles%\PCCleaner2007\Appbase\CManager.dat
%ProgramFiles%\PCCleaner2007\Appbase\CuteFTP4.dat
%ProgramFiles%\PCCleaner2007\Appbase\CuteHTML.dat
%ProgramFiles%\PCCleaner2007\Appbase\DAcceler.dat
%ProgramFiles%\PCCleaner2007\Appbase\DiscJug.dat
%ProgramFiles%\PCCleaner2007\Appbase\ECDCreat4.dat
%ProgramFiles%\PCCleaner2007\Appbase\Far.dat
%ProgramFiles%\PCCleaner2007\Appbase\FlashFXP.dat
%ProgramFiles%\PCCleaner2007\Appbase\FrntPage.dat
%ProgramFiles%\PCCleaner2007\Appbase\FrontPEx.dat
%ProgramFiles%\PCCleaner2007\Appbase\FtpEXP.dat
%ProgramFiles%\PCCleaner2007\Appbase\FtpVoya.dat
%ProgramFiles%\PCCleaner2007\Appbase\GetRight.dat
%ProgramFiles%\PCCleaner2007\Appbase\GoZilla.dat
%ProgramFiles%\PCCleaner2007\Appbase\GravMRU.dat
%ProgramFiles%\PCCleaner2007\Appbase\HomeSite.dat
%ProgramFiles%\PCCleaner2007\Appbase\HotDogPr.dat
%ProgramFiles%\PCCleaner2007\Appbase\H_TxtPad.dat
%ProgramFiles%\PCCleaner2007\Appbase\IconExtr.dat
%ProgramFiles%\PCCleaner2007\Appbase\iMesh.dat
%ProgramFiles%\PCCleaner2007\Appbase\ImgReady3.dat
%ProgramFiles%\PCCleaner2007\Appbase\InsShExp.dat
%ProgramFiles%\PCCleaner2007\Appbase\JASC_P_P.dat
%ProgramFiles%\PCCleaner2007\Appbase\KaZaA.dat
%ProgramFiles%\PCCleaner2007\Appbase\LView.dat
%ProgramFiles%\PCCleaner2007\Appbase\MacDir.dat
%ProgramFiles%\PCCleaner2007\Appbase\MacDrWea.dat
%ProgramFiles%\PCCleaner2007\Appbase\MicAng.dat
%ProgramFiles%\PCCleaner2007\Appbase\MicDes.dat
%ProgramFiles%\PCCleaner2007\Appbase\MMUnDisk.dat
%ProgramFiles%\PCCleaner2007\Appbase\MM_CON.dat
%ProgramFiles%\PCCleaner2007\Appbase\Morpheus.dat
%ProgramFiles%\PCCleaner2007\Appbase\MPaint.dat
%ProgramFiles%\PCCleaner2007\Appbase\MPicPub.dat
%ProgramFiles%\PCCleaner2007\Appbase\MPImaGal.dat
%ProgramFiles%\PCCleaner2007\Appbase\MSExplorer.da t
%ProgramFiles%\PCCleaner2007\Appbase\MSoffice.dat
%ProgramFiles%\PCCleaner2007\Appbase\MSRegEdit.dat
%ProgramFiles%\PCCleaner2007\Appbase\MSWMP.dat
%ProgramFiles%\PCCleaner2007\Appbase\MSWordPad.dat
%ProgramFiles%\PCCleaner2007\Appbase\Nero.dat
%ProgramFiles%\PCCleaner2007\Appbase\NetShow.dat
%ProgramFiles%\PCCleaner2007\Appbase\NTBackup.dat
%ProgramFiles%\PCCleaner2007\Appbase\pfilelst.xda
%ProgramFiles%\PCCleaner2007\Appbase\PhotShel.dat
%ProgramFiles%\PCCleaner2007\Appbase\PHPCoder.dat
%ProgramFiles%\PCCleaner2007\Appbase\PowerZIP.dat
%ProgramFiles%\PCCleaner2007\Appbase\RapidBr.dat
%ProgramFiles%\PCCleaner2007\Appbase\RealAuPl.dat
%ProgramFiles%\PCCleaner2007\Appbase\RealDown.dat
%ProgramFiles%\PCCleaner2007\Appbase\SecurCRT.dat
%ProgramFiles%\PCCleaner2007\Appbase\SL_BlWin.dat
%ProgramFiles%\PCCleaner2007\Appbase\SmartClr.dat
%ProgramFiles%\PCCleaner2007\Appbase\Sonique.dat
%ProgramFiles%\PCCleaner2007\Appbase\StuffIt.dat
%ProgramFiles%\PCCleaner2007\Appbase\TelepPro.dat
%ProgramFiles%\PCCleaner2007\Appbase\UGifAnim.dat
%ProgramFiles%\PCCleaner2007\Appbase\UltraEd.dat
%ProgramFiles%\PCCleaner2007\Appbase\UMedStud.dat
%ProgramFiles%\PCCleaner2007\Appbase\UPhImpV.dat
%ProgramFiles%\PCCleaner2007\Appbase\UPhotoEx.dat
%ProgramFiles%\PCCleaner2007\Appbase\UVidStud.dat
%ProgramFiles%\PCCleaner2007\Appbase\VNC.dat
%ProgramFiles%\PCCleaner2007\Appbase\WebFeret.dat
%ProgramFiles%\PCCleaner2007\Appbase\WebReap.dat
%ProgramFiles%\PCCleaner2007\Appbase\WinACE.dat
%ProgramFiles%\PCCleaner2007\Appbase\WinGate.dat
%ProgramFiles%\PCCleaner2007\Appbase\WiseInst.dat
%ProgramFiles%\PCCleaner2007\Appbase\wordslst.xda
%ProgramFiles%\PCCleaner2007\Appbase\YahooPl.dat
%ProgramFiles%\PCCleaner2007\Appbase\YahooPl2.dat
%ProgramFiles%\PCCleaner2007\Appbase\YahooPl3.dat
%ProgramFiles%\PCCleaner2007\Appbase\ZipMagic.dat
%ProgramFiles%\PCCleaner2007\lang\en_applications. lng
%ProgramFiles%\PCCleaner2007\lang\en_browsers.lng
%ProgramFiles%\PCCleaner2007\lang\en_customitems.l ng
%ProgramFiles%\PCCleaner2007\lang\en_main.lng
%ProgramFiles%\PCCleaner2007\lang\en_messangers.ln g
%ProgramFiles%\PCCleaner2007\lang\en_tempfiles.lng
%ProgramFiles%\PCCleaner2007\lang\en_windows.lng
%ProgramFiles%\PCCleaner2007\lang\ru_applications. lng
%ProgramFiles%\PCCleaner2007\lang\ru_browsers.lng
%ProgramFiles%\PCCleaner2007\lang\ru_customitems.l ng
%ProgramFiles%\PCCleaner2007\lang\ru_main.lng
%ProgramFiles%\PCCleaner2007\lang\ru_messangers.ln g
%ProgramFiles%\PCCleaner2007\lang\ru_tempfiles.lng
%ProgramFiles%\PCCleaner2007\lang\ru_windows.lng
%ProgramFiles%\PCCleaner2007\master.ini
%ProgramFiles%\PCCleaner2007\plugins\appclean.dll
%ProgramFiles%\PCCleaner2007\plugins\browsers.dll
%ProgramFiles%\PCCleaner2007\plugins\browsers.ini
%ProgramFiles%\PCCleaner2007\plugins\customitems.d ll
%ProgramFiles%\PCCleaner2007\plugins\messangers.dl l
%ProgramFiles%\PCCleaner2007\plugins\messangers.in i
%ProgramFiles%\PCCleaner2007\plugins\tempfiles.dll
%ProgramFiles%\PCCleaner2007\plugins\tempfiles.ini
%ProgramFiles%\PCCleaner2007\plugins\windows.dll
%ProgramFiles%\PCCleaner2007\plugins\windows.ini
%ProgramFiles%\PCCleaner2007\Skins\BlueGauze\Butto nHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\BlueGauze\Maste r.bmp
%ProgramFiles%\PCCleaner2007\Skins\BlueGauze\Optio ns.dat
%ProgramFiles%\PCCleaner2007\Skins\BlueGlass\Btn_H uge.bmp
%ProgramFiles%\PCCleaner2007\Skins\BlueGlass\Maste r.bmp
%ProgramFiles%\PCCleaner2007\Skins\BlueGlass\Optio ns.dat
%ProgramFiles%\PCCleaner2007\Skins\BlueIce\BG.JPG
%ProgramFiles%\PCCleaner2007\Skins\BlueIce\Btn_Hug e.bmp
%ProgramFiles%\PCCleaner2007\Skins\BlueIce\Master. bmp
%ProgramFiles%\PCCleaner2007\Skins\BlueIce\Options .dat
%ProgramFiles%\PCCleaner2007\Skins\BluePlastic\But tonHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\BluePlastic\Mas ter.bmp
%ProgramFiles%\PCCleaner2007\Skins\BluePlastic\Opt ions.dat
%ProgramFiles%\PCCleaner2007\Skins\Cappuccino\Butt onHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Cappuccino\Mast er.bmp
%ProgramFiles%\PCCleaner2007\Skins\Cappuccino\Opti ons.dat
%ProgramFiles%\PCCleaner2007\Skins\DarkGlass\Bkgnd .jpg
%ProgramFiles%\PCCleaner2007\Skins\DarkGlass\Butto nHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\DarkGlass\Maste r.bmp
%ProgramFiles%\PCCleaner2007\Skins\DarkGlass\Optio ns.dat
%ProgramFiles%\PCCleaner2007\Skins\Desert\ButtonHu ge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Desert\Master.b mp
%ProgramFiles%\PCCleaner2007\Skins\Desert\Options. dat
%ProgramFiles%\PCCleaner2007\Skins\Elegant\ButtonH uge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Elegant\Master. bmp
%ProgramFiles%\PCCleaner2007\Skins\Elegant\Options .dat
%ProgramFiles%\PCCleaner2007\Skins\FalloutStyle\Bu ttonHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\FalloutStyle\fB G.jpg
%ProgramFiles%\PCCleaner2007\Skins\FalloutStyle\Ma ster.bmp
%ProgramFiles%\PCCleaner2007\Skins\FalloutStyle\Op tions.dat
%ProgramFiles%\PCCleaner2007\Skins\Golden\ButtonHu ge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Golden\Master.b mp
%ProgramFiles%\PCCleaner2007\Skins\Golden\Options. dat
%ProgramFiles%\PCCleaner2007\Skins\GrayPlastic\But tonHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\GrayPlastic\Mas ter.bmp
%ProgramFiles%\PCCleaner2007\Skins\GrayPlastic\Opt ions.dat
%ProgramFiles%\PCCleaner2007\Skins\HeroesStyle\But tonHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\HeroesStyle\Mas ter.bmp
%ProgramFiles%\PCCleaner2007\Skins\HeroesStyle\Opt ions.dat
%ProgramFiles%\PCCleaner2007\Skins\Ledenets\Button Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Ledenets\Master .bmp
%ProgramFiles%\PCCleaner2007\Skins\Ledenets\Option s.dat
%ProgramFiles%\PCCleaner2007\Skins\LikeOperaStyle\ ButtonHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\LikeOperaStyle\ Master.bmp
%ProgramFiles%\PCCleaner2007\Skins\LikeOperaStyle\ Options.dat
%ProgramFiles%\PCCleaner2007\Skins\LongHorn\Button Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\LongHorn\Master .bmp
%ProgramFiles%\PCCleaner2007\Skins\LongHorn\Option s.dat
%ProgramFiles%\PCCleaner2007\Skins\MacMetal\Button Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\MacMetal\Master .bmp
%ProgramFiles%\PCCleaner2007\Skins\MacMetal\Option s.dat
%ProgramFiles%\PCCleaner2007\Skins\MacOS\Biclose.b mp
%ProgramFiles%\PCCleaner2007\Skins\MacOS\BIMAX.BMP
%ProgramFiles%\PCCleaner2007\Skins\MacOS\BIMIN.BMP
%ProgramFiles%\PCCleaner2007\Skins\MacOS\ButtonHug e.bmp
%ProgramFiles%\PCCleaner2007\Skins\MacOS\Master.bm p
%ProgramFiles%\PCCleaner2007\Skins\MacOS\Options.d at
%ProgramFiles%\PCCleaner2007\Skins\MacOS2\Biclose. bmp
%ProgramFiles%\PCCleaner2007\Skins\MacOS2\BIMAX.BM P
%ProgramFiles%\PCCleaner2007\Skins\MacOS2\BIMIN.BM P
%ProgramFiles%\PCCleaner2007\Skins\MacOS2\ButtonHu ge.bmp
%ProgramFiles%\PCCleaner2007\Skins\MacOS2\Master.b mp
%ProgramFiles%\PCCleaner2007\Skins\MacOS2\Options. dat
%ProgramFiles%\PCCleaner2007\Skins\Neutral\ButtonH uge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral\Master. bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral\Options .dat
%ProgramFiles%\PCCleaner2007\Skins\Neutral2\Button Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral2\Master .bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral2\Option s.dat
%ProgramFiles%\PCCleaner2007\Skins\Neutral3\Button Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral3\Master .bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral3\Option s.dat
%ProgramFiles%\PCCleaner2007\Skins\Neutral4\Button Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral4\Master .bmp
%ProgramFiles%\PCCleaner2007\Skins\Neutral4\Option s.dat
%ProgramFiles%\PCCleaner2007\Skins\NextAlpha\Butto nHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\NextAlpha\Maste r.bmp
%ProgramFiles%\PCCleaner2007\Skins\NextAlpha\Optio ns.dat
%ProgramFiles%\PCCleaner2007\Skins\Office12Style\B uttonHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Office12Style\M aster.bmp
%ProgramFiles%\PCCleaner2007\Skins\Office12Style\O ptions.dat
%ProgramFiles%\PCCleaner2007\Skins\Office2003\Butt onHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Office2003\Mast er.bmp
%ProgramFiles%\PCCleaner2007\Skins\Office2003\Opti ons.dat
%ProgramFiles%\PCCleaner2007\Skins\Retro\ButtonHug e.bmp
%ProgramFiles%\PCCleaner2007\Skins\Retro\Master.bm p
%ProgramFiles%\PCCleaner2007\Skins\Retro\Options.d at
%ProgramFiles%\PCCleaner2007\Skins\Retro\WOOD.JPG
%ProgramFiles%\PCCleaner2007\Skins\Rhombus\Bg.jpg
%ProgramFiles%\PCCleaner2007\Skins\Rhombus\ButtonH uge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Rhombus\Master. bmp
%ProgramFiles%\PCCleaner2007\Skins\Rhombus\Options .dat
%ProgramFiles%\PCCleaner2007\Skins\Sand\ButtonHuge .bmp
%ProgramFiles%\PCCleaner2007\Skins\Sand\Master.bmp
%ProgramFiles%\PCCleaner2007\Skins\Sand\Options.da t
%ProgramFiles%\PCCleaner2007\Skins\Steam\ButtonHug e.bmp
%ProgramFiles%\PCCleaner2007\Skins\Steam\Master.bm p
%ProgramFiles%\PCCleaner2007\Skins\Steam\Options.d at
%ProgramFiles%\PCCleaner2007\Skins\Terminal4bit\Bu ttonHuge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Terminal4bit\Ma ster.bmp
%ProgramFiles%\PCCleaner2007\Skins\Terminal4bit\Op tions.dat
%ProgramFiles%\PCCleaner2007\Skins\TheFrog\Bg.jpg
%ProgramFiles%\PCCleaner2007\Skins\TheFrog\ButtonH uge.bmp
%ProgramFiles%\PCCleaner2007\Skins\TheFrog\Master. bmp
%ProgramFiles%\PCCleaner2007\Skins\TheFrog\Options .dat
%ProgramFiles%\PCCleaner2007\Skins\Winter2003\BG.J PG
%ProgramFiles%\PCCleaner2007\Skins\Winter2003\Btn_ Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\Winter2003\Mast er.bmp
%ProgramFiles%\PCCleaner2007\Skins\Winter2003\Opti ons.dat
%ProgramFiles%\PCCleaner2007\Skins\WLM\ButtonHuge. bmp
%ProgramFiles%\PCCleaner2007\Skins\WLM\Master.bmp
%ProgramFiles%\PCCleaner2007\Skins\WLM\Options.dat
%ProgramFiles%\PCCleaner2007\Skins\WLM\TopRight.bm p
%ProgramFiles%\PCCleaner2007\Skins\WMP11\ButtonHug e24.bmp
%ProgramFiles%\PCCleaner2007\Skins\WMP11\Master.bm p
%ProgramFiles%\PCCleaner2007\Skins\WMP11\Options.d at
%ProgramFiles%\PCCleaner2007\Skins\Wood\Bg.jpg
%ProgramFiles%\PCCleaner2007\Skins\Wood\ButtonHuge .bmp
%ProgramFiles%\PCCleaner2007\Skins\Wood\Master.bmp
%ProgramFiles%\PCCleaner2007\Skins\Wood\Options.da t
%ProgramFiles%\PCCleaner2007\Skins\XPLuna\ButtonHu ge.bmp
%ProgramFiles%\PCCleaner2007\Skins\XPLuna\Master.b mp
%ProgramFiles%\PCCleaner2007\Skins\XPLuna\Options. dat
%ProgramFiles%\PCCleaner2007\Skins\XPSilver\Button Huge.bmp
%ProgramFiles%\PCCleaner2007\Skins\XPSilver\Master .bmp
%ProgramFiles%\PCCleaner2007\Skins\XPSilver\Option s.dat
%ProgramFiles%\PCCleaner2007\SysCleaner.exe
%ProgramFiles%\PCCleaner2007\unins000.dat
%ProgramFiles%\PCCleaner2007\unins000.exe
Создаёт подключ в разделе для удаления программ:
HKEY_LOCAL_MACHINE%\SOFTWARE\Microsoft\Windows\Cur rentVersion\Uninstall\PCCleaner2007_is1
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Нежелательное приложение - сканер безопасности. Отображает сообщения о ложных угрозах; предлагает приобрести зарегистированную версию для удаления угроз, якобы найденных в системе.
Источник: Symantec.com
lastmylove
02.08.2007, 14:11
MalwareBurn
При установке создаёт следующие файлы: #UL %ProgramFiles%\MalwareBurn 6.9\Lang\English.ini %ProgramFiles%\MalwareBurn 6.9\MalwareBurn 6.9.url %ProgramFiles%\MalwareBurn 6.9\mwdb.dat %ProgramFiles%\MalwareBurn 6.9\Lang\English.ini %ProgramFiles%\MalwareBurn 6.9\MalwareBurn 6.9.exe %ProgramFiles%\MalwareBurn 6.9\MalwareBurn 6.9.url %ProgramFiles%\MalwareBurn 6.9\msvcp71.dll %ProgramFiles%\MalwareBurn 6.9\msvcr71.dll %ProgramFiles%\MalwareBurn 6.9\mwdb.dat %ProgramFiles%\MalwareBurn 6.9\uninst.exe %UserProfile%\Local Settings\Temp\MWLanguage.ini %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\MalwareBurn 6.9.lnk %UserProfile%\Desktop\MalwareBurn 6.9.lnk %UserProfile%\Start Menu\Programs\MalwareBurn 6.9\MalwareBurn 6.9 Website.lnk %UserProfile%\Start Menu\Programs\MalwareBurn 6.9\MalwareBurn 6.9.lnk %UserProfile%\Start Menu\Programs\MalwareBurn 6.9\Uninstall MalwareBurn 6.9.lnk %UserProfile%\Start Menu\MalwareBurn 6.9.lnk #/UL Создаёт следующие подключи реестра: #UL HKEY_CLASSES_ROOT\AppID\MalwareWipe.EXE HKEY_CLASSES_ROOT\AppID\{70F17C8C-1744-41B6-9D07-575DB448DCC5} HKEY_CLASSES_ROOT\Interface\{0F5C9DFD-CDFA-43B9-8553-1E5489597F5A} HKEY_CLASSES_ROOT\Interface\{10291329-0B60-4620-BE2D-53AFB276EB6E} HKEY_CLASSES_ROOT\Interface\{186094BE-1A83-48B7-98D6-89C1E58E62E1} HKEY_CLASSES_ROOT\Interface\{2DC578A2-8283-484E-A890-0ED54F0A08E3} HKEY_CLASSES_ROOT\Interface\{2EAABB73-4C9D-490D-8B02-F7B9F4AFB43C} HKEY_CLASSES_ROOT\Interface\{4252A994-4060-4059-B358-B9B48220251E} HKEY_CLASSES_ROOT\Interface\{44F6897B-76A4-441A-A4C7-2F94E34C5059} HKEY_CLASSES_ROOT\Interface\{70A51ADF-998C-401D-A3E9-14F524751916} HKEY_CLASSES_ROOT\Interface\{8C272D06-2569-4E55-9193-FD2BC27FBDDC} HKEY_CLASSES_ROOT\Interface\{90111041-7D2C-495B-9892-0F22029DE2DF} HKEY_CLASSES_ROOT\Interface\{91A84911-65BC-4C55-A81D-F5821C716A5F} HKEY_CLASSES_ROOT\Interface\{9A780FEA-46F0-494F-8497-C38BD47EDE89} HKEY_CLASSES_ROOT\Interface\{B867288A-985A-46F0-9F1F-3FF418798E5E} HKEY_CLASSES_ROOT\Interface\{C1EC6006-4D5A-4FA7-9D2A-4E538901F649} HKEY_CLASSES_ROOT\Interface\{E8A31FE3-F478-4187-8791-9FD84C0E886F} HKEY_CLASSES_ROOT\Interface\{ECEA1581-2B1F-44BA-8310-F32D7F7666A3} HKEY_CLASSES_ROOT\TypeLib\{8000A61D-4BBF-4C7E-AD3E-9BECBCFA103F} HKEY_LOCAL_MACHINE\SOFTWARE\MalwareBurn 6.9 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\App Paths\MalwareBurn 6.9.exe 6.9 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\MalwareBurn 6.9 HKEY_LOCAL_MACHINE\SOFTWARE\Licenses\{IEE33530D7BE 2DE7F} HKEY_LOCAL_MACHINE\SOFTWARE\Licenses\{0EE33530D7BE 2DE7F} #/UL Может создавать в реестре пустой подключ: #UL HKEY_CLASSES_ROOT\CLSID\{47DC4218-AE5B-32B9-3EF8-C7F9CF2B564F} #/UL Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы: #UL HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"MalwareBurn 6.9.exe 6.9" = ""C:\Program Files\MalwareBurn 6.9\MalwareBurn 6.9.exe" /h" #/UL
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
MalwareBurn - приложение для поиска и устранения adware и spyware, отображающее ложные отчёты о состоянии безопасности системы и предлагающее приобрести зарегистированную версию.
Источник: Symantec.com
lastmylove
02.08.2007, 14:12
PCPrivacyTool
Приложение должно быть установлено пользователем.
После сканирования системы отображает ряд предупреждений о несуществующих угрозах и предлагает приобрести зарегистрированную версию приложения.
Установка:
Создаёт директории:
C:\Documents and Settings\All Users\Start Menu\Programs\PCPrivacyTool
%ProgramFiles%\PCPrivacyTool
Создаёт следующие файлы:
%UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\PCPrivacyTool unregistered.lnk
%UserProfile%\Desktop\Install PCPrivacyTool.lnk
%UserProfile%\Desktop\PCPrivacyTool unregistered.lnk
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку при старте Windows.
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Run\"PCPrivacyTool" = "C:\Program Files\PCPrivacyTool\GDC.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"PCPrivacyTool" = "C:\Program Files\PCPrivacyTool\GDC.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"ugdccw" = "C:\PROGRA~1\PCPRIV~1\UGDCcw.exe" -start"
Также создаёт в реестре запись:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Shell Extensions\Approved\"{B33DE756-DEEE-4D7A-87DB-1D905BA2AA21}" = "secure_del"
Создаёт следующие подключи реестра:
HKEY_ALL_USERS\Software\PCPrivacyTool
HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers\se cure_del
HKEY_CLASSES_ROOT\.exe\shellex\ContextMenuHandlers \secure_del
HKEY_CLASSES_ROOT\.lnk\ShellEx\ContextMenuHandlers \secure_del
HKEY_CLASSES_ROOT\CLSID\{B33DE756-DEEE-4D7A-87DB-1D905BA2AA21}
HKEY_CLASSES_ROOT\Directory\Background\shellex\Con textMenuHandlers\secure_del
HKEY_CLASSES_ROOT\Directory\shellex\ContextMenuHan dlers\secure_del
HKEY_CLASSES_ROOT\Drive\shellex\ContextMenuHandler s\secure_del
HKEY_CLASSES_ROOT\Folder\shellex\ContextMenuHandle rs\secure_del
HKEY_CLASSES_ROOT\SystemFileAssociations\Directory .Audio\shellex\ContextMenuHandlers\secure_del
HKEY_CLASSES_ROOT\SystemFileAssociations\Directory .Image\shellex\ContextMenuHandlers\secure_del
HKEY_CLASSES_ROOT\SystemFileAssociations\Directory .Video\shellex\ContextMenuHandlers\secure_del
HKEY_CLASSES_ROOT\exefile\shellex\ContextMenuHandl ers\secure_del
HKEY_CLASSES_ROOT\lnkfile\shellex\ContextMenuHandl ers\secure_del
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\GDC_is1
HKEY_LOCAL_MACHINE\SOFTWARE\PC Drive Tool
HKEY_LOCAL_MACHINE\SOFTWARE\PCPrivacyTool
HKEY_LOCAL_MACHINE\SOFTWARE\Purchased Products\PC Drive Tool
HKEY_LOCAL_MACHINE\SOFTWARE\ugdccw
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Приложение для обнаружения и удаления вредоносных программ от Locus Software, PCPrivacyTool v1.0.5.0, представляет ложные сообщения о состоянии компьютера, предлагая приобрести зарегистрированную версию.
Источник: Symantec.com
lastmylove
02.08.2007, 14:13
Spyinator
Приложение должно быть установлено пользователем вручную.
Отображает неверный доклад о якобы обнаруженных в системе spyware и adware:
Spyware "Tybee Software Inc."
Spyware "Golden Eye Software"
Adware "Brilliant Digital"
После сканирования, приложение предлагает приобрести зарегистрированную версию.
Установка:
При запуске создаёт следующие файлы:
%ProgramFiles%\Spyinator\Alert.WAV
%ProgramFiles%\Spyinator\BlockedCookies.txt
%ProgramFiles%\Spyinator\ImmunizeDatabase
%ProgramFiles%\Spyinator\RegistrySpylist
%ProgramFiles%\Spyinator\rmcomtb.dat
%ProgramFiles%\Spyinator\rmcomtb.exe
%ProgramFiles%\Spyinator\Spyinator.exe
%ProgramFiles%\Spyinator\spyList
%ProgramFiles%\Spyinator\uninstal.log
C:\Documents and Settings\All Users\Start Menu\Programs\Spyinator v2.0\Remove Spyinator v2.0.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\Spyinator v2.0\Spyinator v2.0.lnk
%UserProfile%\Desktop\Spyinator v2.0.lnk
%Windir%\SpyInator_IsFirstTime.txt
%UserProfile%\Local Settings\Temp\~DF[СЛУЧАЙНОЕ 16-РИЧНОЕ ЧИСЛО].tmp
Создаёт также пустые файлы:
%System%\MSCOMCT2.OCX
%System%\Richtx32.ocx
%System%\TABCTL32.OCX
%Windir%\unvise32.exe
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Spyinator" = "C:\PROGRA~1\SPYINA~1\Spyinator.exe"
Создаёт подключи реестра:
HKEY_ALL_USERS\Software\VB and VBA Program Settings\Spyinator
HKEY_ALL_USERS\Software\VB and VBA Program Settings\Spyinator\HPSettings
HKEY_ALL_USERS\Software\VB and VBA Program Settings\Spyinator\KeyStatusFromServer
HKEY_ALL_USERS\Software\VB and VBA Program Settings\Spyinator\LiveUpdate
HKEY_ALL_USERS\Software\VB and VBA Program Settings\Spyinator\NSSettings
HKEY_ALL_USERS\Software\VB and VBA Program Settings\Spyinator\OPSettings
HKEY_ALL_USERS\Software\VB and VBA Program Settings\Spyinator\TreeViewSetting
HKEY_ALL_USERS\Software\VB and VBA Program Settings\iSI-APP-NAME-v2.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Spyinator v2.0
Создаёт пустые подключи реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\SharedDlls\C:\WINDOWS\unvise32.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{20DD1B9 E-87C4-11D1-8BE3-0000F8754DA1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{232E456 A-87C3-11D1-8BE3-0000F8754DA1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3B7C886 0-D78F-101B-B9B5-04021C009402}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{586A635 2-87C8-11D1-8BE3-0000F8754DA1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{603C7E8 0-87C2-11D1-8BE3-0000F8754DA1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{78E5A54 0-1850-11CF-9D53-00AA003C9CB6}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7DA06D4 0-54A0-11CF-A521-0080C77A7786}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AFC634B 0-4B8B-11CF-8989-00AA00688B10}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B09DE71 5-87C1-11D1-8BE3-0000F8754DA1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B617B99 1-A767-4F05-99BA-AC6FCABB102E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BDC217C 5-ED16-11CD-956C-0000C04E4C0A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FE38753 A-44A3-11D1-B5B7-0000C09000C4}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{20D D1B9B-87C4-11D1-8BE3-0000F8754DA1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Int
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Приложение для обнаружения adware и spyware, отображающее неверные доклады о состоянии безопасности системы и предлагающее пользователю приобрести зарегистрированную версию для того, чтобы приложение работало корректно.
Источник: Symantec.com
Троянская программа, предназначенная для похищения паролей пользователя.
Является приложением Windows (PE-EXE файл). Имеет размер 57 334 байта. Ничем не упакована.
Деструктивная активность
Инсталляция
Троянец копирует свой исполняемый файл в системный каталог Windows:
%System%\msinet.exe
Для автоматического запуска при каждом следующем старте системы троян добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]"msinet" = "%System%\msinet.exe"
Деструктивная активность
Троянец получает параметры всех существующих в системе модемных соединений, а также все сохраненные в системе пароли при помощи функции WnetEnumCachedPasswords.
Отчет с паролями отправляется на электронную почту злоумышленникам:
***
[email protected]***
[email protected]
Другие названия
Trojan-PSW.Win32.Movida («Лаборатория Касперского») также известен как: Trojan.PSW.Movida («Лаборатория Касперского»), PWS-Movida (McAfee), PWSteal.Trojan (Symantec), Trojan.PWS.Movida (Doctor Web), PWS:Win32/Movida.A (RAV), TROJ_PAROLEBI.A (Trend Micro), Win32:Trojan-gen. (ALWIL), PSW.Movida (Grisoft), Trojan.PSW.Movida.A (SOFTWIN), Trj/PSW.Movida (Panda), Win32/PSW.Movida (Eset)
lastmylove
07.08.2007, 15:50
Win32/NetSky.Q
Червь содержится в исполняемом файле (EXE) размером около 29 КБ. При запуске создаёт файл userconfig9x.dll размером 26 КБ
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений: создаёт в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run ключ "Norton Antivirus AV" со значением "FVProtect.exe".
Удаляет следующие записи в реестре, деактивируя автозапуск ряда других червей:
HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\PINF
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\au.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\d3dupdate.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\direct.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\Explorer
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\gouday.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\OLE
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\rate.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\srate.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\ssate.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\sysmon.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\Taskmon
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\Windows Services Host
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\winupd.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunServices\System.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunServices\Video
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\DELETE ME
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\direct.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\Explorer
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\jijbl
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\msgsvr32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\sentry
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\service
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\System.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\Taskmon
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\video
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\Windows Services Host
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\winupd.exe
Создаёт в директории Windows (%windir%) файлы base64.tmp, zip1.tmp, zip2.tmp, zip3.tmp, zipped.tmp, используемые при рассылке по электронной почте.
Ищет на диске директории с определёнными именами и копирует себя туда под разными именами. Эти директории, как правило, содержат файлы, доступные для загрузки из файлообменных сетей.
Критерий поиска (подстроки и строки):
bear
donkey
download
ftp
htdocs
http
icq
kazaa
lime
morpheus
mule
my shared folder
shar
shared files
upload
Список случайных имён, под которыми червь помещается в вышеуказанные директории:
1001 Sex and more.rtf.exe
3D Studio Max 6 3dsmax.exe
ACDSee 10.exe
Adobe Photoshop 10 crack.exe
Adobe Photoshop 10 full.exe
Adobe Premiere 10.exe
Ahead Nero 8.exe
Altkins Diet.doc.exe
American Idol.doc.exe
Arnold Schwarzenegger.jpg.exe
Best Matrix Screensaver new.scr
Britney sex xxx.jpg.exe
Britney Spears and Eminem porn.jpg.exe
Britney Spears blowjob.jpg.exe
Britney Spears cumshot.jpg.exe
Britney Spears fuck.jpg.exe
Britney Spears full album.mp3.exe
Britney Spears porn.jpg.exe
Britney Spears Sexy archive.doc.exe
Britney Spears Song text archive.doc.exe
Britney Spears.jpg.exe
Britney Spears.mp3.exe
Clone DVD 6.exe
Cloning.doc.exe
Cracks & Warez Archiv.exe
Dark Angels new.pif
Dictionary English 2004 - France.doc.exe
DivX 8.0 final.exe
Doom 3 release 2.exe
E-Book Archive2.rtf.exe
Eminem blowjob.jpg.exe
Eminem full album.mp3.exe
Eminem Poster.jpg.exe
Eminem sex xxx.jpg.exe
Eminem Sexy archive.doc.exe
Eminem Song text archive.doc.exe
Eminem Spears porn.jpg.exe
Eminem.mp3.exe
Full album all.mp3.pif
Gimp 1.8 Full with Key.exe
Harry Potter 1-6 book.txt.exe
Harry Potter 5.mpg.exe
Harry Potter all e.book.doc.exe
Harry Potter e book.doc.exe
Harry Potter game.exe
Harry Potter.doc.exe
How to hack new.doc.exe
Internet Explorer 9 setup.exe
Kazaa Lite 4.0 new.exe
Kazaa new.exe
Keygen 4 all new.exe
Learn Programming 2004.doc.exe
Lightwave 9 Update.exe
Magix Video Deluxe 5 beta.exe
Matrix.mpg.exe
Microsoft Office 2003 Crack best.exe
Microsoft WinXP Crack full.exe
MS Service Pack 6.exe
netsky source code.scr
Norton Antivirus 2005 beta.exe
Opera 11.exe
Partitionsmagic 10 beta.exe
Porno Screensaver britney.scr
RFC compilation.doc.exe
Ringtones.doc.exe
Ringtones.mp3.exe
Saddam Hussein.jpg.exe
Screensaver2.scr
Serials edition.txt.exe
Smashing the stack full.rtf.exe
Star Office 9.exe
Teen Porn 15.jpg.pif
The Sims 4 beta.exe
Ulead Keygen 2004.exe
Visual Studio Net Crack all.exe
Win Longhorn re.exe
WinAmp 13 full.exe
Windows 2000 Sourcecode.doc.exe
Windows 2003 crack.exe
Windows XP crack.exe
WinXP eBook newest.doc.exe
XXX hardcore pics.jpg.exe
Ищет на всех дисках файлы для поиска в них адресов электронной почты. Список расширений файлов:
.adb
.asp
.cgi
.dbx
.dhtm
.doc
.eml
.htm
.html
.jsp
.msg
.oft
.php
.pl
.rtf
.sht
.shtm
.tbb
.txt
.uin
.vbs
.wab
.wsh
.xml
Не добавляет в список адреса, содержащие следующие подстроки:
@antivi
@avp
@bitdefender
@f-pro
@f-secur
@fbi
@freeav
@kaspersky
@mcafee
@messagel
@microsof
@norman
@norton
@pandasof
@skynet
@sophos
@spam
@symantec
@viruslis
abuse@
noreply@
ntivir
reports@
spam@
Затем создаёт письма, используя в качестве исходящего адреса один из списка, либо:
[email protected]
[email protected]
[email protected]
Тема выбирается случайным образом из списка:
-do0-i4grjj40j09gjijgp
0i09u5rug08r89589gjrg
Administrator
approved
Congratulations!
corrected
Do you?
Does it matter?
Error
Fwd: Warning again
Hello
hello
here
Hi
hi
I cannot forget you!
I love you!
Illegal Website
important
Important m$6h?3p
improved
Information
Internet Provider Abuse
Is that your password?
Mail Account
Mail Authentication
Mail Delivery (failure %s)
Mail Delivery (failure)
News
Notice again
patched
Postcard
Private document
Protected Mail System
Re:
Re: A!p$ghsa
Re: Administration
Re: Approved document
Re: Bad Request
Re: Delivery Protection
Re: Delivery Server
Re: Developement
Re: Encrypted Mail
Re: Error
Re: Error in document
Re: Extended Mail
Re: Extended Mail System
Re: Failure
Re: Free porn
Re: Hello
Re: Hi
Re: Is that your document?
Re: Its me
Re: Mail Authentification
Re: Mail Server
Re: Message
Re: Message Error
Re: Notify
Re: Old photos
Re: Old times
Re: Order
Re: Proof of concept
Re: Protected Mail Delivery
Re: Protected Mail Request
Re: Protected Mail System
Re: Question
Re: Re:
Re: Request
Re: Sample
Re: Secure delivery
Re: Secure SMTP Message
Re: Sex pictures
Re: SMTP Server
Re: Status
Re: Submit a Virus Sample
Re: Test
Re: Thank you for delivery
Re: Virus Sample
Re: Your document
read it immediately
Shocking document
Spam
Spamed?
Stolen document
Thank you!
thanks!
You cannot do that!
Your day
Тело письма может быть пустым, либо состоять из следующих компонентов:
Одна из строк:
9u049u89gh89fsdpokofkdpbm3-4i
Are you a spammer? (I found your email on a spammer website!?!)
Authentication required.
Bad Gateway: The message has been attached.
Best wishes, your friend.
Binary message is available.
Can you confirm it?
Congratulations!, your best friend.
Delivered message is attached.
Do not visit this illegal websites!
Encrypted message is available.
ESMTP [Secure Mail System #334]: Secure message is attached.
First part of the secure mail is available.
Follow the instructions to read the message.
For further details see the attachment.
For more details see the attachment.
Forwarded message is available.
Greetings from france, your friend.
Have a look at these.
Here is it!
Here is my icq list.
Here is my phone number.
Here is the website. ;-)
I am shocked about your document!
I cannot believe that.
I found this document about you.
I have attached it to this mail.
I have attached the sample.
I have attached your document.
I have attached your file. Your password is jkl44563.
I have corrected your document.
I have received your document. The corr
I have received your document. The corrected document is attached
I have visited this website and I found you in the spammer list. Is that true?
I hope the patch works.
I hope you accept the result!
I noticed that you have visited illegal websites. See the name in the list!
Important message, do not show this anyone!
Let us be short: you have no experience in writing letters!!!
lovely, :-)
Message has been sent as a binary attachment.
Monthly news report.
My favourite page.
New message is available.
Now a new message is available.
Partial message is available.
Please answer quickly!
Please authenticate the secure message.
Please confirm my request.
Please confirm the document.
Please confirm!
Please r564g!he4a56a3haafdogu#mfn3o
Одна из строк:
Please read the attached file!
Please read the attached file.
Please read the attachment to get the message.
Please read the document.
Please read the important document.
Please see the attached file for details.
po44u90ugjid-k9z5894z0
Protected Mail System Test.
Protected message is attached.
Protected message is available.
Requested file.
Secure Mail System Beta Test.
See the file.
See the ghg5%&6gfz65!4Hf55d!46gfgf
%lt;Server Error #203>
Либо текст:
SMTP: Please confirm the attached message.
Thank you for your request, your details are attached!
Thanks!
The file is protected with the password ghj001.
The sample file you sent contains a new virus version of buppa.k.
Please update your virus scanner with the attached dat file.
Best Regards,
Keria Reynolds
Либо текст:
The sample file you sent contains a new virus version of mydoom.j.
Please clean your system with the attached signature.
Sincerly,
Robert Ferrew
Либо одна из строк:
The sample is attached!
Try this game ;-)
Try this, or nothing!
Waiting for a Response. Please read the attachment.
Waiting for authentification.
You got a new message.
You have downloaded these illegal cracks?.
You have received an extended message. Please read the instructions.
You have visited illegal websites. I have a big list of the websites you surfed.
You have written a very good text, excellent, good work!
You were registered to the pay system. For more details see the attachment.
Your archive is attached.
your big love, ;-)
Your bill is attached to this mail.
Your details.
Your document is attached to this mail.
Your document is attached.
Your document.
Your file is attached.
Your important document, correction is finished!
Your mail account has been closed. For further details see the document.
Your mail account is expired. See the details to reactivate it.
Your photo, uahhh.... , you are naked!
Your requested mail has been attached.
В конце письма червь может ставить пометку о том, что вложение якобы проверено на вирусы:
"+++ Attachment: No Virus found"
В следующей строке случайным образом указывается название антивируса:
+++ Bitdefender AntiVirus - www.bitdefender.com
+++ Kaspersky AntiVirus - www.kaspersky.com
+++ MC-Afee AntiVirus - www.mcafee.com
+++ MessageLabs AntiVirus - www.messagelabs.com
+++ Panda AntiVirus - www.pandasoftware.com
++++ F-Secure AntiVirus - www.f-secure.com
++++ Norman AntiVirus - www.norman.com
++++ Norton AntiVirus - www.symantec.de
Имя вложения выбирается из списка (может состоять из двух случайных слов из списка):
about_you
abuselist
abuses
abuse_list
all_doc01
all_in_all
application
approved
approved
archive
attach
bill
confirm
corrected
d4334938
data
data02
data20
datfiles
detail3
details
details03
details05
doc01
document
document01
document04
document05
document07
document09
document342
document43
document_all
document_all02c
document_with_notice
doc_word3
email
encrypted_msg01
excel document
file
game
game_xxo
id04009
id09509
id43342
important
important
improved
info02
information
judge
letter
letter32
letter43
list
list_ed
mails9
message
msg
my
my_details
my_list01
my_numbers
news01
old_photos
part6
part_01
patch3425
pgp_sess01
photo
postcard
priv
private_01
product
pwd02
readme
report01
sample01
screensaver
signature
software
story
summary2004
text
text01
website
websitelist01
websites01
websites03
word document
word_doc
www.freeporn4all
www.myx4free
your
your_doc
your_document
Расширение вложения может быть либо исполняемым двойным: [doc или txt].[exe, scr или pif], либо ZIP. В ZIP вкладывается файл с одним из следующих имён:
document.txt .exe
data.rtf .scr
details.txt .pif
Несмотря на кажущуюся беспорядочность тем, вариантов тел сообщения и имён вложений, червь содержит базу соответствий и, таким образом, все письма имеют осмысленные темы писем, текст и название файла-вложения.
Червь также содержит обращение к автору червя Win32/Bagle.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Распространяется при помощи массовой рассылки своих копий по электронной почте, копированием себя в совместно используемые директории файлообменных сетей и совместно используемые сетевые директории.
Источник: ESET.com
lastmylove
07.08.2007, 15:51
Win32/NetSky.B
Упакован утилитой UPX. В сжатом состоянии занимает 22.106 байт, в распакованном - 41.984 байта.
Создаёт мутекс "AdmSkynetJklS003", по которому проверяет наличие своей копии в памяти.
При запуске файла без параметров выдаёт окно ошибки " The file could not be opened! " ("Файл не может быть открыт!").
При первом запуске копирует себя в корневую директорию Windows (%windir%) под именем services.exe и записывает ссылку на этот файл в раздел реестра, отвечающий за автозагрузку приложений:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"service" = "%windir%\services.exe -serv"
При запуске файла с параметром "-serv" сообщение об ошибке не выводится.
Удаляет из реестра следующие ключи:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\Taskmon
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\Taskmon
HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\Explorer
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\Explorer
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\KasperskyAv
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\system.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunServices\system
Ищет на всех дисках, кроме CD/DVD-приводов, директории, содержащие строки "share" или "sharing". Такие директории могут, предположительно, относиться к местам общего доступа файлообменных сетей.
Копирует себя в найденные директории под именами:
winxp_crack.exe
dolly_buster.jpg.pif
strippoker.exe
photoshop 9 crack.exe
matrix.scr
porno.scr
angels.pif
hardcore porn.jpg.exe
office_crack.exe
serial.txt.exe
cool screensaver.scr
eminem - lick my pussy.mp3.pif
nero.7.exe
virii.scr
e-book.archive.doc.exe
max payne 2.crack.exe
how to hack.doc.exe
programming basics.doc.exe
e.book.doc.exe
win longhorn.doc.exe
dictionary.doc.exe
rfc compilation.doc.exe
sex sex sex sex.doc.exe
doom2.doc.pif
Собирает адреса электронной почты на всех дисках из файлов с расширениями:
.eml
.txt
.php
.pl
.htm
.html
.vbs
.rtf
.uin
.asp
.wab
.doc
.adb
.tbb
.dbx
.sht
.oft
.msg
Письма, рассылаемые червём, содержат одну из следующих тем:
hi
hello
read it immediately
something for you
warning
information
stolen
fake
unknown
Тело письма содержит одну из следующих строк:
anything ok?
what does it mean?
ok
i'm waiting
read the details.
here is the document.
read it immediately!
my hero
here
is that true?
is that your name?
is that your account?
i wait for a reply!
is that from you?
you are a bad writer
I have your password!
something about you!
kill the writer of this document!
i hope it is not true!
your name is wrong
i found this document about you
yes, really?
that is bad
here it is
see you
greetings
stuff about you?
something is going wrong!
information about you
about me
from the chatter
here, the serials
here, the introduction
here, the cheats
that's funny
do you?
reply
take it easy
why?
thats wrong
misc
you earn money
you feel the same
you try to steal
you are bad
something is going wrong
something is fool
Вложение - копия червя, имеет двойное расширение - текстовое (txt, doc, rtf) и исполняемое (exe, scr, com или pif). Например, ".txt.exe".
Иногда вложение представляет собой архив ZIP с телом червя.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Распространяется копированием себя в совместно используемые сетевые директории и в директории общего доступа P2P-сетей, а также рассылает себя по адресам электронной почты, найденным в файлах на диске.
Источник: ESET.com
lastmylove
07.08.2007, 15:52
Win32/Zafi.B
Распространяется копированием себя в директории общего доступа файлообменных сетей и рассылкой по электронной почте.
Файл сжат упаковщиком FSG; в сжатом виде файл имеет длину 12.800 байт, а в распакованном - 49 КБ.
Червь прибывает по электронной почте со случайной темой, например "eIngyen SMS!".
Тело сообщения:
------------------------ hirdet=E9s -----------------------------
A sikeres 777sms.hu =E9s az axelero.hu t=E1mogat=E1s=E1val =FAjra
indul az ingyenes sms k=FCld=F5 szolg=E1ltat=E1s! Jelenleg ugyan
korl=E1tozott sz=E1mban, napi 20 ingyen smst lehet felhaszn=E1lni.
K=FCldj te is SMST! Neh=E1ny kattint=E1s =E9s a mell=E9kelt regisztr=E1ci=F3s
lap kit=F6lt=E9se ut=E1n azonnal ig=E9nybevehet=F5! B=F5vebb inform=E1ci=F3t
a www.777sms.hu oldalon tal=E1lsz, de siess, mert az els=F5 ezer
felhaszn=E1l=F3 k=F6z=F6tt =E9rt=E9kes nyerem=E9nyeket sorsolunk ki!
------------------------ axelero.hu ---------------------------
Тема: eImportante! Тело письма: Informacion importante que debes conocer, -
Тема: oKatya Тело письма: ADAOIU OEIE
Тема: eE-Kort! Тело письма: Mit hjerte banker for dig!
Тема: eEcard! Тело письма: De cand te-am cunoscut inima mea are un nou ritm!
Тема: eE-vykort! Тело письма: пустое
Тема: eE-Postkort! Тело письма: Vakre roser jeg sammenligner med deg...
Тема: eE-postikorti! Тело письма: Iloista kesaa!
Тема: eAtviruka! Тело письма: Linksmo gimtadieno!
Тема: eE-Kartki! Тело письма: W Dniu imienin...
Тема: eCartoe Virtuais! Тело письма: Te amo...
Тема: eFlashcard fuer Dich! Тело письма:
Hallo!
hat dir eine elektronische Flashcard geschickt.
Um die Flashcard ansehen zu koennen, benutze in deinem Browser
einfach den nun folgenden link:
http://flashcard.de/interaktiv/viewcards/view.php3?card=267BSwr34
Viel Spass beim Lesen wuenscht Ihnen ihr...
Тема: eEr staat een eCard voor u klaar! Тело письма:
Hallo!
heeft u een eCard gestuurd via de website nederlandse
taal in het basisonderwijs...
U kunt de kaart ophalen door de volgende url aan te klikken of te
kopiren in uw browser link:
http://postkaarten.nl/viewcard.show53.index=04abD1
Met vriendelijke groet,
De redactie taalsite primair onderwijs...
Тема: eElektronicka pohlednice! Тело письма:
Ahoj!
Elektronick pohlednice ze serveru http://www.seznam.cz
Тема: eE-carte! Тело письма:
vous a envoye une E-carte partir du site zdnet.fr
Vous la trouverez, l'adresse suivante link:
http://zdnet.fr/showcard.index.php34bs42
www.zdnet.fr, plus de 3500 cartes virtuelles, vos pages web
en 5 minutes, du dialogue en direct...
Тема: eTi e stata inviata una Cartolina Virtuale! Тело письма:
Ciao!
ha visitato il nostro sito, cartolina.it e ha creato una cartolina virtuale per te! Per vederla devi fare click sul link sottostante: http://cartolina.it/asp.viewcard=index4g345a Attenzione, la cartolina sara visibile sui nostri server per 2 giorni e poi verra rimossa automaticamente.
Тема: eYou`ve got 1 VoiceMessage! Тело письма:
Dear Customer!
You`ve got 1 VoiceMessage from voicemessage.com website!
Sender:
You can listen your Virtual VoiceMessage at the following link:
http://virt.voicemessage.com/index.listen.php2=35affv
or by clicking the attached link.
Send VoiceMessage! Try our new virtual VoiceMessage Empire!
Best regards: SNAF.Team (R).
Тема: eTessek mosolyogni!!! Тело письма:
Ha ez a kep sem tud felviditani, akkor feladom!
Sok puszi:
Тема: eSoxor Csok! Тело письма:
Szia!
Aranyos vagy, jo volt dumcsizni veled a neten!
Remelem tetszem, es szeretnem ha te is kuldenel kepet
magadrol, addig is csok:
Тема: eDon`t worry, be happy! Тело письма:
Hi Honey!
I`m in hurry, but i still love ya...
(as you can see on the picture)
Bye - Bye:
Тема: eCheck this out kid!!! Тело письма:
Send me back bro, when you`ll be done...(if you know what i mean...)
See ya,
Червь находится во вложении. При запуске копирует себя в системную директорию Windows (%system%) под случайным именем с расширением exe; там же создаёт файл .DLL со случайным именем. В этот файл записываются собранные адреса электронной почты.
Записывает ссылку на себя в раздел реестра, отвечающий за автозапуск приложений при старте системы:
HKEY_LOCAL_MACHINE\SOFTWARE\MicrosoftWindows\Curre ntVersion\Run\_Hazafibb = "%system%\[СЛУЧАЙНОЕ ИМЯ].exe"
Для хранения внутренней информации создаёт в реестре ключ:
HKEY_LOCAL_MACHINE\Software\Microsoft\_Hazafibb
Ищет на всех дисках директории, в названия которых входят подстроки "share" или "upload" и копирует себя туда под одним из нижеперечисленных имён:
Total Commander 7.0 full_install.exe
winamp 7.0 full_install.exe
Ищет адреса электронной почты на всех дисках в файлах с расширениями:
htm
wab
txt
dbx
tbb
asp
php
sht
adb
mbx
eml
pmr
Исключает адреса, содержащие следующие подстроки:
win
use
info
help
admi
webm
micro
msn
hotm
suppor
syma
vir
trend
panda
yaho
cafee
sopho
google
kasper
Отключает процессы, содержащие в именах подстроки "firewall" и "virus".
Блокирует запуск утилит, имена которых начинаются с Regedit, Msconfig и Task.
Зараженные компьютеры отправляют запросы на следующие сайты:
www.parlament.hu
www.virusbuster.hu
www.virushirado.hu
www.2f.hu
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Распространяется копированием себя в директории общего доступа файлообменных сетей и рассылкой по электронной почте.
Псевдонимы: W32.Erkez.B
Источник: ESET.com
lastmylove
08.08.2007, 21:23
W32/Looked-DR
При запуске создаёт файлы %windir%\Logo1_.exe и %windir%\uninstall\rundl132.exe, которые определяются как Mal/Behav-085 (по классификации Sophos).
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \"load" = "%windir%\uninstall\rundl132.exe"
Связывается с удалённым HTTP-сервером через свой компонент, определяемый Sophos как HTTP.W32/Looked-DR, для загрузки и выполнения дополнительного кода.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Вирус-червь. Копируюет себя на сетевые диски; заражает файлы на локальных и, иногда, сетевых дисках.
Загружает из интернета и устанавливает дополнительный вредоносный код.
Ослабляет безопасность системы, изменяя настройки защиты.
lastmylove
08.08.2007, 21:24
W32/Delf-EXO
При первом запуске копирует себя в системную директорию Windows (%System) под именем SysInfo.dll.
Внедряется в процессы explorer.exe и winlogon.exe.
Регистрируется в системе как Вспомогательный объект браузера Internet Explorer (Browser Helper Object), объявляя себя COM-объектом с CLSID {989D2FEB-5411-4565-8988-1DD2C5263377}.
Распространяется, копируя себя в корневые директории дисков под именем SysInfo2.dll; создаёт там же файл autorun.inf, через который запускается при помощи rundll32.exe ("rundll32.exe sysinfo2.dll"). Таким образом, файл не может быть запущен напрямую пользователем и запускается только при включённом автозапуске.
Другие названия: Trojan-Spy.Win32.Delf.uy
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется копированием на все диски с созданием файла автозапуска autorun.inf
Открывает в системе "чёрный ход"
Крадёт важную информацию
Содержит "клавиатурный шпион"
Устанавливается как вспомогательный объект браузера Internet Explorer (Browser Helper Object), что позволяет перехватывать данные, вводимые в формы
lastmylove
08.08.2007, 21:24
Adware.InstallProvider
При запуске создаёт файлы:
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Cookies\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]@84.243.251[2].txt
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ФАЙЛА].exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\Installer.exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\InstallOptions.dll
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Start Menu\Programs\Install Provider\InstallProvider.url
C:\Program Files\Install Provider\data.ini
C:\Program Files\Install Provider\Install Provider.ico
C:\Program Files\Install Provider\InstallProvider.dll
C:\Program Files\Install Provider\InstallProvider.dlldat
Создаёт подключи реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Install Provider
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadMana ger
HKEY_LOCAL_MACHINE\SOFTWARE\Install Provider
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные программой (использовать regedit.exe)
Действие
Программа Install Provider v1.0.18.1 представляет панель для веб-поиска. При поиске через эту панель отображает рекламу сайтов avsystemcare.com и drivercleaner.com, содержащих подставные приложения защиты системы.
Источник: Symantec.com
lastmylove
11.08.2007, 11:39
Troj/Delf-EXQ
При первом запуске копирует себя в домашнюю директорию пользователя (%User%): %User%\Favourites\netservice.exe.
Регистрирует себя как системный сервис "netservice" с отображаемым именем "DDMP" и типом запуска "автоматический". Информация о сервисе записывается в разделы реестра:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NET SERVICE\
HKLM\SYSTEM\CurrentControlSet\Services\netservice\
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает на компьютере "чёрный ход", предоставляя атакующему полный доступ к системе; загружает из интернета и выполняет другой вредоносный код.
Ослабляет настройки безопасности системы; отключает антивирусные процессы.
lastmylove
11.08.2007, 11:39
Trojan.IRC.Zapchast.NAB
При запуске создаёт в системе следующие файлы в директории C:\Windows\System\:
svchost.exe (1922 КБ, переименованная модификация mIRC.exe, Win32.Partie.B)
sup.bat (22 байта)
sup.reg (139 байт)
script.ini (8 КБ)
nicks.ini (25 КБ)
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"GNP Generic Host Process" = "c:\windows\system\svchost.exe"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Поступает в виде самораспаковывающегося архива RAR. Устанавливает на компьютере клиент IRC-чата mIRC, заходит на определённый канал семейства серверов Undernet, #unl[УДАЛЕНО], и выполняет роль IRC-бота, принимающего стандартные команды IRC (/op /deop /kick /ban /voice /nick /msg /run /exit /say /ping).
Источник: BitDefender.com
lastmylove
11.08.2007, 11:40
W32.Mimbot.A
При первом запуске создаёт файлы:
%Windir%\PictureAlbum2007.zip (копия червя в архиве)
%System%\prodigys323.dll
Создаёт в реестре записи, обеспечивающие ему автозагрузку при каждом запуске системы.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{448BAC4 2-AABD-42C5-A550-826BF4AF4BB3}\InProcServer32\"(Default)" = "prodigys323.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad\"prodigy1" = "{448BAC42-AABD-42C5-A550-826BF4AF4BB3}"
Открывает "чёрный ход", подключаясь к IRC-серверу ns5.landpurchased.com:81 и ожидает команд от атакующего. В частности, может загружать и выполнять дополнительный код.
Распространяется через MSN Live Messenger, рассылая свою копию в архиве PictureAlbum2007.zip по списку контактов, обнаруженных в адресной книге.
Сопровождает файл сообщением, которое выбирает из списка случайным образом:
QuT usted piensa de este cuadro?
Conseguf a nuevo cuadro de mf la toma una mirada
algunos cuadros de la semana pasada, consideran si usted tiene gusto en ellos.
tiene usted visto este picure todavfa?
Haha, es que usted?
Debo utilizar este cuadro en msn?
QuT usted piensa en esto?
Was denken Sie an diese?
was denken Sie an dieses picure? ich glaube, daich hSlich schaue :/
sind hier eine neue Abbildung von mir
einige Abbildungen von der letzten Woche, sehen, wenn Sie sie m gen
Haha, diese sind Sie auf dieser Abbildung?
sollte ich diese Abbildung auf msn benutzen?
Was denken Sie an dieses?
Wat denkt u aan dit picure? ik vind ik lelijk kijk
Een paar beelden van vorige week, zien of houdt u hier van em nieuwe pic van me. :)
Hebt u dit picure nog gezien?:p
Hebt u dit picure nog gezien? :p
Haha, bent u dat op dat beeld? :)
Zou ik dit beeld op msn moeten gebruiken?
Wat denkt u over dit?
que pensez-vous a ce picure ? je me sens que je semble laid :/
Voici un nouveau pic de moi
Quelques images de la semaine derni
re, voient si vous les aimez
Avez-vous vu ce picure encore ?
Haha, est-vous ce sur cette image ?
Si j'emploient cette image sur le msn ?
Que pensez-vous a mon image ?
What do you think of this picure? i feel i look ugly :/
Here's a new pic of me
A few pictures from last week, see if you like em
Have you seen this picure yet?
Haha, is that you on that picture?
Should i use this picture on msn?
What do you think about this?
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется, рассылая свои копии по списку контактов в MSN Live Messenger.
Открывает "чёрный ход", предоставляя атакующему полный доступ к захваченной системе.
Источник: Symantec.com
lastmylove
13.08.2007, 21:16
Backdoor.Ginwui.F
Троян поступает на зараженный компьютер во вредоносном документе Microsoft PowerPoint (определяется антивирусом Symantec как Trojan.PPDropper).
При запуске документ создаёт следующие файлы:
%Temp%\ excel.exe
%Temp%\[ОРИГИНАЛЬНОЕ_ИМЯ_ФАЙЛА].pps
%System%\US2.EXE
%System%\kb20060919.log
%System%\WINFBI32.DLL
Создаёт в реестре запись:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"AppInit_DLLs" = "%System%\WINFBI32.dll"
Встраивает себя в другие процессы и использует технологию руткитов для сокрытия своих файлов, записи реестра и процесса.
Открывает на компьютере чёрный ход, подключаясь к сайту [http://][УДАЛЕНО].7766.org.
Обеспечивает атакующему следующий функционал:
Отправка информации о типах жёстких дисков
Поиск файлов на диске
Загрузка файлов на захваченный компьютер
Передача файлов с захваченного компьютера
Создание и удаление директорий
Выполнение команд
Обновление записей трояна в реестре
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Открывает чёрный ход на зараженном компьютере; использует руткит для сокрытия своего присутствия в системе.
Источник: Symantec.com
lastmylove
13.08.2007, 21:16
Trojan.PPDropper
Поступает на компьютер по электронной почте, в виде вложения формата PowerPoint.
Характеристики письма:
От: [УДАЛЕНО]@yahoo.com
Кому: [СПИСОК ПОЛУЧАТЕЛЕЙ]
Тема: new plan
Сообщение:
The operational plan of next week has revised and respond to us
Dear sir:
In next week ,we will [УДАЛЕНО] respond to us as quickly as possible!!! We are so sorry ! Thanks and best wishes to you! Regards
Вложение: newplan.ppt
Эксплуатирует уязвимость MS06-012, вызывающую переполнение буфера и выполнение вредоносного кода, скрытого в документе PowerPoint при его открытии.
Сохраняет на диске файл - копию Backdoor.Nithsys:
%Temp%\[СЛУЧАЙНОЕ_ИМЯ].tmp - 144,513 bytes
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Поступает во вложении в формате Power Point; сохраняет на диске троян Backdoor.Nithsys.
Источник: Symantec.com
lastmylove
14.08.2007, 21:12
MSNPoopy.A
При первом запуске создаёт в директории Windows файлы SVCHOST.EXE и IMG1756.ZIP - архив со своей копией, рассылаемый через MSN Live Messenger.
Создаёт в реестре запись, обеспечивающую ему автозагрузку при каждом запуске системы:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ Microsoft Genuine Logon = svchost.exe
Рассылает себя по списку контактов: выбирает одно из сообщений, провоцирующее загрузить архив и запустить файл, и прикрепляет к нему вышеуказанный файл.
check it, i shaved my head
have u seen my new hair?
hey man, did you take this picture?
I just took this picture with my webcam, like it?
look @ my cute new puppy :-D
look @ this picture of me, when I was a kid
what the fuck, did you see this?
Техническое название: W32/MSNPoopy.A.worm.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется, рассылая себя через MSN Live Messenger.
Отправляет имя пользователя и пароль MSN Live Messenger с захваченного компьютера на веб-сайт атакующего.
Источник: PandaSecurity.com
lastmylove
14.08.2007, 21:13
BancoKill.A
Блокирует доступ к определённому мексиканскому банку, записывая доменные имена его сайтов в файл hosts (%windows%\system32\drivers\etc\hosts) со ссылкой на локальный компьютер (127.0.0.1).
Поступает в письмах, содержащих сообщение о сотрудничестве Panda Software с мексиканским банком "Grupo ..." с целью защиты пользователей, и предлагает нажать на ссылку "Защититься сейчас". ведущую на копию трояна.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Блокирует доступ пользователей к ряду веб-сайтов, принадлежащих одному из мексиканских банков.
Троян располагается на сайте; ссылка на него содержится в электронном письме, рассказывающем на испанском языке о том, что Panda Software и определённый мексиканский банк заключили партнёрское соглашение.
Источник: PandaSecurity.com
lastmylove
14.08.2007, 21:14
Lop
Устанавливает себя как Browser Helper Object для Microsoft Internet Explorer.
При запуске копирует себя в файлы EXE со случайными именами в директории Application Data и Program Files.
Создаёт на "Рабочем столе" ярлыки BINGO.LNK, CARD GAMES.LNK, CASINO ONLINE.LNK, INTERNET.LNK, POKER.LNK, PRINTER CARTRIDGES.LNK, TRAVEL.LNK and WEBSITE HOSTING.LNK, ведущие на разные сайты.
В директории "Избранное" создаёт ярлыки ANTIVIRUS.URL, CASINO ONLINE.URL, COMPUTERS.URL, GAMES.URL, INSTANT MESSAGING.URL, INTERNET.URL, MOVIE.URL, WEB HOSTING.URL, COMPUTER, COOL STUFF, DATING, HOME, INTERNET, ONLINE GAMING, ONLINE PHARMACY, SHOPPING GIFTS и TRAVEL.
Создаёт в реестре записи, обеспечивающие автозагрузку при каждом старте Windows:
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ %СЛУЧАЙНОЕ_НАЗВАНИЕ% = %ApplicationData%\ %СЛУЧАЙНАЯ_ДИРЕКТОРИЯ%\ %ИМЯ_ФАЙЛА%.exe
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ %СЛУЧАЙНОЕ_НАЗВАНИЕ% = %ProgramFiles%\ %СЛУЧАЙНАЯ_ДИРЕКТОРИЯ%\ %ИМЯ_ФАЙЛА%.exe
%СЛУЧАЙНАЯ_ДИРЕКТОРИЯ% - директория со случайным именем, где расположены файлы Lop.
Создаёт также записи:
HKEY_CLASSES_ROOT\ CLSID\ {4E7ED42A-A514-B9D8-9B26-E17880DF1234}
HKEY_CLASSES_ROOT\ CLSID\ {7657043B-CFFF-857A-FBC7-1D97745AC771}
HKEY_CLASSES_ROOT\ CLSID\ {9B4F7AE3-9BCD-47B1-1134-F393E0001771}
HKEY_CLASSES_ROOT\ CLSID\ {9B7436C7-D7E9-478A-5D10-F3A8E03B5B55}
HKEY_CURRENT_USER\ Software\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_CURRENT_USER\ Software\ Classes\ CLSID\ {9B4F7AE3-9BCD-47B1-1134-F393E0001771}
HKEY_CURRENT_USER\ Software\ Classes\ CLSID\ {9B7436C7-D7E9-478A-5D10-F3A8E03B5B55}
HKEY_CURRENT_USER\ Software\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Browser Helper Objects\ {4E7ED42A-A514-B9D8-9B26-E17880DF1234}
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Browser Helper Objects\ {7657043B-CFFF-857A-FBC7-1D97745AC771}
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_USERS\ S-1-5-21-*-500_Classes\ CLSID\ {9B4F7AE3-9BCD-47B1-1134-F393E0001771}
HKEY_USERS\ S-1-5-21-*-500_Classes\ CLSID\ {9B7436C7-D7E9-478A-5D10-F3A8E03B5B55}
Техническое название: Obfuscated,Swizzor,, mp3search, C2 Media, Swizzo, Adware/Lop.
Существует несколько версий приложения. Ряд веб-сайтов используют его для своей рекламы.
Написан на языке Visual C++ 7.10, сжат UPX. В распакованном виде имеет длину 791.552 байта.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Добавляет панель к Internet Explorer, якобы предоставляющую поиск в интернете, но вместо этого при поиске отображает всплывающие окна с рекламой.
Создаёт иконки со ссылками на различные сайты в "Избранном" и на Рабочем столе.
Содержит ошибку, приводящую к аварийному завершению процесса explorer.exe в случае установленного WinZip при попытке пользователя получить доступ к контекстному меню.
Легко распознаётся, поскольку заменяет главную страницу на страницу "Search the Web"
Источник: PandaSecurity.com
lastmylove
17.08.2007, 22:10
Troj_Vundo.BBV
Поступает на компьютер вместе с троянами Vundo или Virtumundo как библиотека DLL, экспортирующая функции для других вредоносных программ.
При запуске копирует себя в системную директорию Windows под именем [СЛУЧАЙНЫЕ_СИМВОЛЫ].dll.
Также записывает свои невредоносные компоненты:
ПУТЬ_К_ВРЕДОНОСНОЙ_ПРОГРАММЕ\ИМЯ_ПРОГРАММЫ_НАОБОРО Т.bak1 ПУТЬ_К_ВРЕДОНОСНОЙ_ПРОГРАММЕ\ИМЯ_ПРОГРАММЫ_НАОБОРО Т.ini
Обеспечивает себе автозапуск при каждом старте системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\[ИМЯ_ТРОЯНА_БЕЗ_РАСШИРЕНИЯ]
DllName = "%System%\{malware filename}.dll"
Регистрирует себя как Вспомогательный объект браузера (Browser Helper Object), что позволяет ему автоматически запускаться при старте браузера (Microsoft Internet Explorer):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{СЛУЧАЙНЫЙ_CLSID}
Создаёт следующий ключ в реестре:
HKEY_CLASSES_ROOT\CLSID\{Random CLSID}\InprocServer32
(Default) = "%System%\[ИМЯ_ТРОЯНА].dll"
Может внедряться в процессы WINLOGON.EXE и EXPLORER.EXE для предотвращения своего удаления даже в Безопасном режиме (Safe Mode).
Отслеживает работу пользователя в браузере, периодически отображает всплывающие окна с рекламой в зависимости от тематики посещаемых сайтов.
Предоставляет другим вредоносным программам функции:
Создание процесса
Защита процесса от обнаружения и удаления
Вход или выход из системы
Создать нестабильность в системе
Загружает вредоносный код из интернета с URL http://???.???.235.110.
Подключается к сайтам (начало закрыто Trend Micro):
???aena.com
???tivirussecuritypro.com
???ivecleaner.com
???rorprotector.com
???rorsafe.com
???opguard.com
???sprotect.com
???stemdoctor.com
???rusguard.com
???nantispy.com
???nantispyware.com
???nantivirus.com
???nantiviruspro.com
???ndrivecleaner.com
???nfirewall.com
???nfixer.com
???npopupguard.com
Вышеперечисленные ссылки загружают фальшивые антишпионские программы.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Поступает на компьютер вместе с другими версиями трояна Vundo или Virtumundo, либо в качестве компонента другого вредоносного ПО.
Представляет собой DLL-файл, экспортирующий функции для других вредоносных программ; регистрируется как Вспомогательный объект браузера (Browser Helper Object) для Microsoft Internet Explorer; запускается вместе с браузером.
Отображает рекламу во всплывающих окнах во время веб-серфинга.
Загружает из интернета и выполняет дополнительный вредоносный код.
Источник: TrendMicro.com
lastmylove
17.08.2007, 22:11
Trojan.Bankpatch
При запуске создаёт файлы:
%Temp%\my.log - определяется как Trojan.Bankpatch
%System%\ldrcrpt.dat - файл, содержащий зашифрованные данные
%System%\idname.si - содержит случайное число, созданное трояном как идентификатор захваченной системы
Создаёт в реестре следующую запись:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\"w8" = "[USA_[12_ШЕСТНАДЦАТЕРИЧНЫХ_ЦИФР]"
Запускает my.log - программу, получающую набор привилегий из процесса WINLOGON.EXE.
Заражает файлы:
%System%\kernel32.dll
%System%\wininet.dll
%System%\dllcache\kernel32.dll
%System%\dllcache\wininet.dll
(Примечание: длина kernel32.dll увеличивается на 4 КБ, wininet.dll - на 12 КБ. Троян увеличивает последнюю секцию этих файлов и вставляет в неё специальный исполняемый код.)
В процессе заражения создаёт файлы:
%System%\oldkrn.tmp - резервная копия kernel32.dll
%System%\oldwin.tmp - резервная копия wininet.dll
%System%\newkrn.tmp - инфицированная копия kernel32
%System%\newwin.tmp - инфицированная копия kernel32
Для завершения процедуры заражения перезагружает компьютер.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Троян для Windows. Крадёт конфиденциальную информацию; модифицирует системные DLL.
Источник: Symantec.com
lastmylove
17.08.2007, 22:12
Troj/Mailbot-CG
При старте копирует себя в корневую директорию под именем fwdrv.sys; регистрирует этот файл как системный сервис с автоматическим запуском.
Создаёт запись о сервисе в разделе реестра:
HKLM\SYSTEM\CurrentControlSet\Services\fwdrv.sys
Псевдонимы: SpamTool.Win32.Agent.u, Spam-Xarvester.trojan, Spammer.Win32/Agent.U.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Найти и остановить сервис, созданный червём.
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает "чёрный ход" на захваченном компьютере. Рассылает спам по запросу атакующего. Работает как системный сервис.
lastmylove
17.08.2007, 22:13
Infostealer.Monstres
Для проверки наличия своей копии в памяти использует мутекс "__SYSTEM__91C38905__".
Проверяет наличие в системе файла OUTPOST.EXE (Outpost Firewall).
Копирует себя в файл %System%\ntos.exe, добавляя случайное количество байт в конец.
Создаёт директорию %System%\wsnpoem с атрибутами системная и скрытая. В этой директории создаёт два файла - audio.dll для хранения собранной информации и video.dll для хранения собственных настроек.
Создаёт в реестре запись:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"pathx" = [ОРИГИНАЛЬНОЕ_ИМЯ_ТРОЯНА]
Обеспечивает себе автозапуск при каждом старте системы. Для этого модифицирует следующую запись реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "%System%\userinit.exe, %System%\ntos.exe"
Встраивает код в процессы WINLOGON.EXE и SVCHOST.EXE.
Пытается создать потоки (threads) во всех процессах, кроме CSRSS.EXE.
Для синхронизации потоков использует мутексы:
__SYSTEM__23D80F10__
__SYSTEM__45A2F601__
__SYSTEM__7F4523E5__
__SYSTEM__91C38905__
__SYSTEM__64AD0625__
Для обеспечения устойчивости блокирует удаление и доступ к своим файлам и периодически перезаписывает все созданные и модифицированные записи реестра в случае их удаления.
Создаёт в реестре маркер, обозначающий, что компьютер уже захвачен:
HKEY_LOCAL_MACHINE\Software\microsoft\windows nt\currentversion\network\"UID" = "[ИМЯ_КОМПЬЮТЕРА]_[УНИКАЛЬНЫЙ_ID]"
Перехватывает API NTDLL.DLL при помощи кода, внедрённого в процессы. Список API:
NtCreateThread
LdrLoadDll
LdrGetProcedureAddress
Перехватывает API библиотеки работы с интернетом WININET.DLL для контроля над работой в Сети и кражи информации. Перехват осуществляется кодом, внедрённым в процессы. Список API:
HttpSendRequestW
HttpSendRequestA
HttpSendRequestExW
HttpSendRequestExA
InternetReadFile
InternetReadFileExW
InternetReadFileExA
InternetQueryDataAvailable
InternetCloseHandle
Также перехватывает API библиотек WS2_32.DLL и WSOCK32.DLL для тех же целей, что и WININET.DLL. Список API (отправка информации по TCP/IP и UDP, а также закрытие сокета):
send
sendto
closesocket
WSASend
WSASendTo
При посещении сайта Monster.com может перехватывать трафик, перенаправлять трафик и собирать конфиденциальную информацию, отправленную на сайт (имя, адрес электронной почты, домашний адрес, номер домашнего телефона.
Пытается переслать данные на хост 195.189.246.233.
Связывается с хостом http://195.189.246.235/spmv[УДАЛЕНО] для получения дополнительных настроек и данных для рассылки спама.
Рассылает спам по запросу; пытается использовать SMTP-сервер smtp.bizmail.yahoo.com.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Крадёт конфиденциальную информацию с захваченного компьютера, включая реквизиты, передаваемые пользователем на сайт Monsters.com. Может рассылать спам, получая инструкции с удалённого сервера.
Источник: Symantec.com
lastmylove
17.08.2007, 22:14
Trojan-Downloader:W32/Agent.BRK
При запуске записывает драйвер-руткит %sysdir%\drivers\runtime.sys, который определяется как Rootkit.Win32.Agent.dw.
Заменяет своим драйвером файл драйвера Microsoft Windows IPv6 Windows Firewall - %sysdir%\drivers\ip6fw.sys. Файл определяется как Rootkit.Win32.Agent.dp.
Устанавливает драйверы как сервисы и запускает их.
Запускает в скрытом режиме процесс Microsoft Internet Explorer и модифицирует его код.
Пытается подключиться к серверам с адресами 66.246.72.173, 67.18.114.98 и 208.66.194.241.
Новые варианты трояна подключаются к другим серверам: 64.233.183.27, 66.111.4.74, 194.67.23.20, 209.85.147.27, 216.157.145.27, 216.195.61.87.
Пытается загрузить с этих серверов дополнительный компонент, используя HTTP GET-запрос. В качестве параметров запроса передаёт некоторую информацию о зараженном компьютере.
Загруженный файл сохраняется как %sysdir%\[0..9]_exception.nls (определяется как Rootkit.Win32.Agent.ey). Он выполняет функции приложения для рассылки спама.
Для проверки своего присутствия в памяти троян использует мутекс "k4j.32H_f7z_Z6e.g8G0".
Псевдонимы: Agent.exj, Win32/TrojanDownloader.Agent.NPW, Trojan-Downloader:W32/Agent.EXJ, Trojan-Downloader.Win32.Agent.brk, Trojan-Downloader:W32/Agent.BOD, Agent.brk
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные трояном; восстановить изменённые настройки (использовать regedit.exe)
Найти и остановить сервисы, созданные трояном.
Действие
Загружает из интернета и выполняет дополнительный вредоносный код. Использует технологию руткитов для сокрытия своего присутствия в системе. Загружает на компьютер приложение для рассылки спама.
Источник: F-Secure.com
lastmylove
17.08.2007, 22:15
W32/Looked-DM
При первом запуске создаёт следующие файлы в директории Windows (%Windows%):
Logo1_.exe
RichDll.dll
\uninstall\\rundl132.exe
Может создавать файлы "_desktop.ini" в различных директориях зараженного компьютера. Это безопасные текстовые файлы, которые могут быть удалены без вреда для системы.
Записывает ссылку на себя в раздел автозагрузки реестра:
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load = "%Windows%\uninstall\rundl132.exe"
Создаёт раздел реестра HKLM\SOFTWARE\Soft\DownloadWWW\
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Способ заражения: запись тела вируса в начало исполняемого файла, дописывание оригинального файла в конец.
Распространяется, заражая файлы в директориях общего доступа файлообменных сетей.
Открывает "чёрный ход" на зараженном компьютере.
Загружает из интернета и выполняет другой вредоносный код.
lastmylove
17.08.2007, 22:16
W32/Looked-DR
При запуске создаёт файлы %windir%\Logo1_.exe и %windir%\uninstall\rundl132.exe, которые определяются как Mal/Behav-085 (по классификации Sophos).
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \"load" = "%windir%\uninstall\rundl132.exe"
Связывается с удалённым HTTP-сервером через свой компонент, определяемый Sophos как HTTP.W32/Looked-DR, для загрузки и выполнения дополнительного кода.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Вирус-червь. Копируюет себя на сетевые диски; заражает файлы на локальных и, иногда, сетевых дисках.
Загружает из интернета и устанавливает дополнительный вредоносный код.
Ослабляет безопасность системы, изменяя настройки защиты.
lastmylove
17.08.2007, 22:17
WinXDefender
Программа устанавливается пользователем вручную.
При установке создаёт следующие файлы:
C:\Documents and Settings\[ТЕКУЩИЙ_ПОЛЬЗОВАТЕЛЬ]\Application Data\WinXDefender\base.dat
C:\Documents and Settings\[ТЕКУЩИЙ_ПОЛЬЗОВАТЕЛЬ]\Application Data\WinXDefender\base2.dat
C:\Documents and Settings\[ТЕКУЩИЙ_ПОЛЬЗОВАТЕЛЬ]\Application Data\WinXDefender\Desc.dat
C:\Documents and Settings\[ТЕКУЩИЙ_ПОЛЬЗОВАТЕЛЬ]\Desktop\WinXDefender.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\WinXDefender\Purchase License.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\WinXDefender\Start WinXDefender.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\WinXDefender\Support Page.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\WinXDefender\WinXDefender Uninstall.lnk
C:\Program Files\WinXDefender\Buy.url
C:\Program Files\WinXDefender\Help.url
C:\Program Files\WinXDefender\HowToBuy.txt
C:\Program Files\WinXDefender\License.txt
C:\Program Files\WinXDefender\Lng\English.lng
C:\Program Files\WinXDefender\Uninstall.exe
C:\Program Files\WinXDefender\WinXDefender.exe
Записывает ссылку на себя в раздел реестра, обеспечивающий автозагрузку приложений при каждом запуске Windows:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"WinXDefender" = "C:\Program Files\WinXDefender\WinXDefender.exe"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные программой (использовать regedit.exe)
Действие
WinXDefender, v2.0 от SS Development, представляет собой псевдозащитную программу, отображающую ложные сообщения об угрозах. Предлагает устранить угрозы после регистрации и покупки продукта.
Источник: Symantec.com
lastmylove
17.08.2007, 22:19
PrivacyKit
Программа устанавливается пользователем вручную.
При инсталляции создаёт следующие файлы:
C:\Documents and Settings\'current user'\Application Data\Microsoft\Internet Explorer\Quick Launch\PrivacyKit.lnk
C:\Documents and Settings\'current user'\Desktop\PrivacyKit.lnk
C:\Documents and Settings\'current user'\Local Settings\Application Data\PrivacyKit\log
C:\Documents and Settings\All Users\Start Menu\Programs\PrivacyKit\PrivacyKit on the Web.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\PrivacyKit\PrivacyKit.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\PrivacyKit\Uninstall PrivacyKit.lnk
C:\Program Files\PrivacyKit\interface\English.lng
C:\Program Files\PrivacyKit\pkill.exe
C:\Program Files\PrivacyKit\Plugins\browsers\ebay_tb.en
C:\Program Files\PrivacyKit\Plugins\browsers\ebay_tb.js
C:\Program Files\PrivacyKit\Plugins\browsers\googl.en
C:\Program Files\PrivacyKit\Plugins\browsers\googl_10.en
C:\Program Files\PrivacyKit\Plugins\browsers\googl_10.js
C:\Program Files\PrivacyKit\Plugins\browsers\googl_11.en
C:\Program Files\PrivacyKit\Plugins\browsers\googl_11.js
C:\Program Files\PrivacyKit\Plugins\browsers\googl_deskbar.en
C:\Program Files\PrivacyKit\Plugins\browsers\googl_deskbar.js
C:\Program Files\PrivacyKit\Plugins\browsers\groups.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie.bmp
C:\Program Files\PrivacyKit\Plugins\browsers\ie7_autocomplete .en
C:\Program Files\PrivacyKit\Plugins\browsers\ie7_autocomplete .js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_autocomplete. en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_autocomplete. js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_bho.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_bho.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_cache.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_cache.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_cookies.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_cookies.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_ext.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_ext.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_favorites.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_favorites.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_history.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_history.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_menuext.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_menuext.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_pubwiz.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_pubwiz.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_sassist.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_sassist.js
C:\Program Files\PrivacyKit\Plugins\browsers\ie_typedurls.en
C:\Program Files\PrivacyKit\Plugins\browsers\ie_typedurls.js
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla.bmp
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla.en
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_bookmark s.en
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_bookmark s.js
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_cookies. en
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_cookies. js
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_formhist ory.en
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_formhist ory.js
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_lochisto ry.en
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_lochisto ry.js
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_signons. en
C:\Program Files\PrivacyKit\Plugins\browsers\mozilla_signons. js
C:\Program Files\PrivacyKit\Plugins\browsers\msn_tb.en
C:\Program Files\PrivacyKit\Plugins\browsers\msn_tb.js
C:\Program Files\PrivacyKit\Plugins\browsers\opera.bmp
C:\Program Files\PrivacyKit\Plugins\browsers\opera.en
C:\Program Files\PrivacyKit\Plugins\browsers\opera_autocomple te.en
C:\Program Files\PrivacyKit\Plugins\browsers\opera_autocomple te.js
C:\Program Files\PrivacyKit\Plugins\browsers\opera_bookmarks. en
C:\Program Files\PrivacyKit\Plugins\browsers\opera_bookmarks. js
C:\Program Files\PrivacyKit\Plugins\browsers\opera_cache.en
C:\Program Files\PrivacyKit\Plugins\browsers\opera_cache.js
C:\Program Files\PrivacyKit\Plugins\browsers\opera_contacts.e n
C:\Program Files\PrivacyKit\Plugins\browsers\opera_contacts.j s
C:\Program Files\PrivacyKit\Plugins\browsers\opera_cookies.en
C:\Program Files\PrivacyKit\Plugins\browsers\opera_cookies.js
C:\Program Files\PrivacyKit\Plugins\browsers\opera_history.en
C:\Program Files\PrivacyKit\Plugins\browsers\opera_history.js
C:\Program Files\PrivacyKit\Plugins\browsers\tb_googl.bmp
C:\Program Files\PrivacyKit\Plugins\browsers\tb_yahoo.bmp
C:\Program Files\PrivacyKit\Plugins\browsers\tb_yahoo.en
C:\Program Files\PrivacyKit\Plugins\browsers\yahoo_mess.en
C:\Program Files\PrivacyKit\Plugins\browsers\yahoo_mess.js
C:\Program Files\PrivacyKit\Plugins\browsers\yahoo_tb.en
C:\Program Files\PrivacyKit\Plugins\browsers\yahoo_tb.js
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee30_history .en
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee30_history .js
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee40_history .en
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee40_history .js
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee50_history .en
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee50_history .js
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee60_history .en
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee60_history .js
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee70_history .en
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee70_history .js
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee80_history .en
C:\Program Files\PrivacyKit\Plugins\msoffice\acdsee80_history .js
C:\Program Files\PrivacyKit\Plugins\msoffice\acroread40_histo ry.en
C:\Program Files\PrivacyKit\Plugins\msoffice\acroread40_histo ry.js
C:\Program Files\PrivacyKit\Plugins\msoffice\acroread50_histo ry.en
C:\Program Files\PrivacyKit\Plugins\msoffice\acroread50_histo ry.js
C:\Program Files\PrivacyKit\Plugins\msoffice\acroread60_histo ry.en
C:\Program Files\PrivacyKit\Plugins\msoffice\acroread60_histo ry.js
C:\Program Files\PrivacyKit\Plugins\msoffice\aftp_rhistory.en
C:\Program Files\PrivacyKit\Plugins\msoffice\aftp_rhistory.js
C:\Program Files\PrivacyKit\Plugins\msoffice\aim60.bmp
C:\Program Files\PrivacyKit\Plugins\msoffice\aim60.en
C:\Program Files\PrivacyKit\Plugins\msoffice\aim60.js
C:\Program Files\PrivacyKit\Plugins\msoffice\aph60_history.en
C:\Program Files\PrivacyKit\Plugins\msoffice\aph60_history.js
C:\Program Files\PrivacyKit\Plugins\msoffice\aph70_history.en
C:\Program Files\PrivacyKit\Plugins\msoffice\aph70_history.js
C:\Program Files\PrivacyKit\Plugins\msoffice\axiaw_history.en
C:\Program Files\PrivacyKit\Plugins\msoffice\axiaw_history.js
C:\Program Files\PrivacyKit\Plugins\msoffice\ccftp_rhistory.e n
C:\Program Files\PrivacyKit\Plugins\msoffice\ccftp_rhistory.j s
C:\Program Files\PrivacyKit\Plugins\msoffice\ccga_history.en
C:\Program Files\PrivacyKit\Plugins\msoffice\ccga_history.js
C:\Program Files\PrivacyKit\Plugins\msoffice\cftphe_rhistory. en
C:\Program Files\PrivacyKit\Plugins\msoffice\cftphe_rhistory. js
C:\Program Files\PrivacyKit\Plugins\msoffice\cftppe_rhistory. en
C:\Program Files\PrivacyKit\Plugins\msoffice\cftppe_rhistory. js
C:\Program Files\PrivacyKit\Plugins\msoffice\cftp_rhistory.en
C:\Program Files\PrivacyKit\Plugins\msoffice\cftp_rhistory.js
C:\Program Files\PrivacyKit\Plugins\msoffice\divx.en
C:\Program Files\PrivacyKit\Plugins\msoffice\divx.js
C:\Program Files\PrivacyKit\Plugins\msoffice\dm.en
C:\Program Files\PrivacyKit\Plugins\msoffice\dm.js
C:\Program Files\PrivacyKit\Plugins\msoffice\frontpage_mru.en
C:\Program Files\PrivacyKit\Plugins\msoffice\frontpage_mru.js
C:\Program Files\PrivacyKit\Plugins\msoffice\gr.en
C:\Program Files\PrivacyKit\Plugins\msoffice\gr.js
C:\Program Files\PrivacyKit\Plugins\msoffice\groups.en
C:\Program Files\PrivacyKit\Plugins\msoffice\htmlhelp_cfiles_ mru.en
C:\Program Files\PrivacyKit\Plugins\msoffice\htmlhelp_cfiles_ mru.js
C:\Program Files\PrivacyKit\Plugins\msoffice\htmlhelp_pfiles_ mru.en
C:\Program Files\PrivacyKit\Plugins\msoffice\htmlhelp_pfiles_ mru.js
C:\Program Files\PrivacyKit\Plugins\msoffice\htmlhelp_rfiles_ mru.en
C:\Program Files\PrivacyKit\Plugins\msoffice\htmlhelp_rfiles_ mru.js
C:\Program Files\PrivacyKit\Plugins\msoffice\icq2002a.en
C:\Program Files\PrivacyKit\Plugins\msoffice\icq2002a.js
C:\Program Files\PrivacyKit\Plugins\msoffice\icq2003a.en
C:\Program Files\PrivacyKit\Plugins\msoffice\icq2003a.js
C:\Program Files\PrivacyKit\Plugins\msoffice\icq2003b.en
C:\Program Files\PrivacyKit\Plugins\msoffice\icq2003b.js
C:\Program Files\PrivacyKit\Plugins\msoffice\im.bmp
C:\Program Files\PrivacyKit\Plugins\msoffice\innosetup_mru.en
C:\Program Files\PrivacyKit\Plugins\msoffice\innosetup_mru.js
C:\Program Files\PrivacyKit\Plugins\msoffice\mdw30.en
C:\Program Files\PrivacyKit\Plugins\msoffice\mdw30.js
C:\Program Files\PrivacyKit\Plugins\msoffice\mdw40.en
C:\Program Files\PrivacyKit\Plugins\msoffice\mdw40.js
C:\Program Files\PrivacyKit\Plugins\msoffice\mdwmx.en
C:\Program Files\PrivacyKit\Plugins\msoffice\mdwmx.js
C:\Program Files\PrivacyKit\Plugins\msoffice\mfmx.en
C:\Program Files\PrivacyKit\Plugins\msoffice\mfmx.js
C:\Program Files\PrivacyKit\Plugins\msoffice\mfwmx.en
C:\Program Files\PrivacyKit\Plugins\msoffice\mfwmx.js
C:\Program Files\PrivacyKit\Plugins\msoffice\miranda.bmp
C:\Program Files\PrivacyKit\Plugins\msoffice\miranda.en
C:\Program Files\PrivacyKit\Plugins\msoffice\miranda.js
C:\Program Files\PrivacyKit\Plugins\msoffice\mphe30_history.e n
C:\Program Files\PrivacyKit\Plugins\msoffice\mphe30_history.j s
C:\Program Files\PrivacyKit\Plugins\msoffice\msnm_rf.en
C:\Program Files\PrivacyKit\Plugins\msoffice\msnm_rf.js
C:\Program Files\PrivacyKit\Plugins\msoffice\nerobr_history.e n
C:\Program Files\PrivacyKit\Plugins\msoffice\nerobr_history.j s
C:\Program Files\PrivacyKit\Plugins\msoffice\oe.bmp
C:\Program Files\PrivacyKit\Plugins\msoffice\oe.en
C:\Program Files\PrivacyKit\Plugins\msoffice\oe_dbx.en
C:\Program Files\PrivacyKit\Plugins\msoffice\oe_dbx.js
C:\Program Files\PrivacyKit\Plugins\msoffice\picozip_history. en
C:\Program Files\PrivacyKit\Plugins\msoffice\picozip_history. js
C:\Program Files\PrivacyKit\Plugins\msoffice\vdub_mru.en
C:\Program Files\PrivacyKit\Plugins\msoffice\vdub_mru.js
C:\Program Files\PrivacyKit\Plugins\msoffice\wa.en
C:\Program Files\PrivacyKit\Plugins\msoffice\wa.js
C:\Program Files\PrivacyKit\Plugins\msoffice\wace_mru.en
C:\Program Files\PrivacyKit\Plugins\msoffice\wace_mru.js
C:\Program Files\PrivacyKit\Plugins\msoffice\winace_history.e n
C:\Program Files\PrivacyKit\Plugins\msoffice\winace_history.j s
C:\Program Files\PrivacyKit\Plugins\msoffice\wrar_archistory. en
C:\Program Files\PrivacyKit\Plugins\msoffice\wrar_archistory. js
C:\Program Files\PrivacyKit\Plugins\msoffice\wrar_dialogedith istory.en
C:\Program Files\PrivacyKit\Plugins\msoffice\wrar_dialogedith istory.js
C:\Program Files\PrivacyKit\Plugins\msoffice\wzip_archistory. en
C:\Program Files\PrivacyKit\Plugins\msoffice\wzip_archistory. js
C:\Program Files\PrivacyKit\Plugins\msoffice\wzip_dirhistory. en
C:\Program Files\PrivacyKit\Plugins\msoffice\wzip_dirhistory. js
C:\Program Files\PrivacyKit\Plugins\msoffice\za_logs.en
C:\Program Files\PrivacyKit\Plugins\msoffice\za_logs.js
C:\Program Files\PrivacyKit\Plugins\msoffice\zipmagic_history .en
C:\Program Files\PrivacyKit\Plugins\msoffice\zipmagic_history .js
C:\Program Files\PrivacyKit\Plugins\windows\e_compdesc.en
C:\Program Files\PrivacyKit\Plugins\windows\e_compdesc.js
C:\Program Files\PrivacyKit\Plugins\windows\e_lastvisitedmru. en
C:\Program Files\PrivacyKit\Plugins\windows\e_lastvisitedmru. js
C:\Program Files\PrivacyKit\Plugins\windows\e_logonuname.en
C:\Program Files\PrivacyKit\Plugins\windows\e_logonuname.js
C:\Program Files\PrivacyKit\Plugins\windows\e_mapnetdrivemru. en
C:\Program Files\PrivacyKit\Plugins\windows\e_mapnetdrivemru. js
C:\Program Files\PrivacyKit\Plugins\windows\e_opensavemru.en
C:\Program Files\PrivacyKit\Plugins\windows\e_opensavemru.js
C:\Program Files\PrivacyKit\Plugins\windows\e_openwithhist.en
C:\Program Files\PrivacyKit\Plugins\windows\e_openwithhist.js
C:\Program Files\PrivacyKit\Plugins\windows\e_recentdocs.en
C:\Program Files\PrivacyKit\Plugins\windows\e_recentdocs.js
C:\Program Files\PrivacyKit\Plugins\windows\e_run.en
C:\Program Files\PrivacyKit\Plugins\windows\e_run.js
C:\Program Files\PrivacyKit\Plugins\windows\e_streammru.en
C:\Program Files\PrivacyKit\Plugins\windows\e_streammru.js
C:\Program Files\PrivacyKit\Plugins\windows\e_userassist.en
C:\Program Files\PrivacyKit\Plugins\windows\e_userassist.js
C:\Program Files\PrivacyKit\Plugins\windows\e_wallpapermru.en
C:\Program Files\PrivacyKit\Plugins\windows\e_wallpapermru.js
C:\Program Files\PrivacyKit\Plugins\windows\e_wgcrawlerprinte rs.en
C:\Program Files\PrivacyKit\Plugins\windows\e_wgcrawlerprinte rs.js
C:\Program Files\PrivacyKit\Plugins\windows\e_wgcrawlershares .en
C:\Program Files\PrivacyKit\Plugins\windows\e_wgcrawlershares .js
C:\Program Files\PrivacyKit\Plugins\windows\groups.en
C:\Program Files\PrivacyKit\Plugins\windows\t_bitbucket.en
C:\Program Files\PrivacyKit\Plugins\windows\t_bitbucket.js
C:\Program Files\PrivacyKit\Plugins\windows\t_temp.en
C:\Program Files\PrivacyKit\Plugins\windows\t_temp.js
C:\Program Files\PrivacyKit\Plugins\windows\w_arpcache.en
C:\Program Files\PrivacyKit\Plugins\windows\w_arpcache.js
C:\Program Files\PrivacyKit\Plugins\windows\w_bagmru.en
C:\Program Files\PrivacyKit\Plugins\windows\w_bagmru.js
C:\Program Files\PrivacyKit\Plugins\windows\w_muicache.en
C:\Program Files\PrivacyKit\Plugins\windows\w_muicache.js
C:\Program Files\PrivacyKit\privacykit.exe
C:\Program Files\PrivacyKit\privacykit.url
C:\Program Files\PrivacyKit\unins000.dat
C:\Program Files\PrivacyKit\unins000.exe
Создаёт подключ реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\PrivacyKit_is1
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
PrivacyKit v2.1.7.0 от SS Development представляет собой псевдозащитную программу, которая сообщает о наличии на компьютере большого количества угроз и предлагает их устранить после регистрации и оплаты продукта.
Угрозы, о которых сообщает программа, не существуют, а несостоятельность отчёта видна невооружённым глазом. Например, программа обнаруживает угрозу в браузере Opera даже если он не установлен.
Источник: Symantec.com
lastmylove
17.08.2007, 22:20
CrisysTecSentry
Программа устанавливается пользователем вручную.
При установке создаёт следующие файлы:
%UserProfile%\Desktop\CrisysTec Sentry 3.0.lnk
%UserProfile%\Start Menu\Programs\CrisysTec Sentry\CrisysTec Sentry Help file.lnk
%UserProfile%\Start Menu\Programs\CrisysTec Sentry\CrisysTec Sentry.lnk
%UserProfile%\Start Menu\Programs\CrisysTec Sentry\Uninstall CrisysTec Sentry.lnk
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\BSwap.exe
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\INSTALL.LOG
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\install.sss
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\Plugins\Extensions.plugin_example
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\Plugins\Extensions83.plugin
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\RestoreRegistry.reg
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\Sentry.chm
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\Sentry.exe
%ProgramFiles%\Critical Systems Technologies\CrisysTec Sentry\Uninstall.exe
Записывает ссылку на себя в раздел реестра, обеспечивающий автозагрузку приложений при каждом запуске системы.
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Run\"CrisysTec Sentry" = "C:\Program Files\Critical Systems Technologies\CrisysTec Sentry\Sentry.exe -Minimized"
Создаёт следующие подключи реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{645FF04 0-5081-101B-9F08-00AA002F954E}\Shell
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\{34BCE26E-D9F8-46CB-8A59-B473A14471F0}
HKEY_ALL_USERS\Software\Critical Systems Technologies
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\SharedDlls\C:\Program Files\Critical Systems Technologies\CrisysTec Sentry\Uninstall.exe
Модифицирует следующие подключи реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{645FF04 0-5081-101B-9F08-00AA002F954E}\"(Default)" = "CrisysTec Protected Recycle Bin"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{645FF04 0-5081-101B-9F08-00AA002F954E}\LocalizedString\"(Default)" = "CrisysTec Protected Recycle Bin"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Программа CrisysTecSentry v3.0 от Critical Systems Technologies Inc. представляет собой псевдосканер угроз. При сканировании системы выводит сообщение о множестве обнаруженных угроз, которых на самом деле не существует. Предлагает приобрести продукт для устранения угроз.
Источник: Symantec.com
lastmylove
20.08.2007, 16:58
PE_Resourcer.A-O
При запуске "заражает" исполняемые файлы .exe, перечисленные в списке автозагрузки в разделе реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run .
Заражение происходит следующим образом: оригинальный файл копируется в файл с тем же именем, но расширением ".ex_", а вместо него под оригинальным именем записывается троян. При запуске трояна он выполняет файл с расширением ".ex_".
Открывает "чёрный ход" на захваченном компьютере; номер порта выбирается случайно.
Предоставляет атакующему следующие возможности:
Изменение настроек прокси
Загрузка файлов
Включение/отключение перехвата Буфера обмена (clipboard)
Просмотр, установка и удаление содержимого Буфера обмена
Пытается загружать обновления с URL http://194.126.???.157/ping/9cab1d9ec6162082e6114f54834043ba65eeb51cb1f2dfb536 2bce03b91ef800/30/1.
Псевдонимы: TR/Crypt.ULPM.Gen(Avira), Troj/DwnLdr-GXF(Sophos).
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
"Заражает" исполняемые файлы .exe (PE-формата для Windows), замещая их собой и оставляя копию оригинального файла под тем же именем с расширением .ex_, которые запускает при старте. Жертвы выбирает из списка автозапускаемых приложений в реестре.
Загружает из интернета и выполняет дополнительный вредоносный код.
Открывает в системе "чёрный ход", предоставляя атакующему управление.
Источник: Trendmicro.com
lastmylove
20.08.2007, 16:58
Troj_Agent.AATE
Загружается с вредоносной веб-страницы с URL http://???72.com/up/Builder.exe.
При запуске ищет файлы FlashFxp.exe и LeapFtp.exe, прячет их и переименовывает в IEXPLORE.EXE (в соответствующих директориях). Копирует себя под именами FLASHFXP.EXE и LEAPFTP.EXE соответственно.
Подключается к http://???72.com/NewFTP.asp и пытается загрузить дополнительные компоненты. На момент анализа кода URL был недоступен.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Поступает в систему при посещении вредоносных веб-страниц. Загружает из интернета и выполняет дополнительный вредоносный код.
Источник: TrendMicro.com
lastmylove
20.08.2007, 17:00
Trojan.Randsom.B
При запуске создаёт следующие текстовые файлы:
%UserProfile%\Desktop\ASAP!!!.txt
C:\ASAP!!!.txt
Записывает в секцию автозагрузки реестра ссылку на один из вышеуказанных файлов. После перезагрузки пользователь увидит блокнот с содержимым файла.
#UK HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Notepad" = "notepad.exe C:\ASAP!!!.txt"
Шифрует на всех дисках во всех директориях (кроме %Windir%) файлы с расширениями:
.mmf
.dbf
.txt
.xls
.doc
.pps
.ppt
.docx
.xlsx
.pptx
.rtf
.mdb
.vsd
.vst
.csv
.mpl
.zip
.rar
[БЕЗ_РАСШИРЕНИЯ]
После зашифровки открывает файл "C:\ASAP!!!.txt" при помощи Блокнота.
Содержимое файла, требующего выкуп:
Dear User,
Thank you for using our service.
We've recently inspected your system and found out
[УДАЛЕНО]
life worse.You'll certanly get the Decription Program.
Thank you ,
Network Security Audit Plus.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой
Действие
Зашифровывает файлы на захваченном компьютере и требует выкуп для получения кода расшифровки.
Источник: Symantec.com
lastmylove
20.08.2007, 17:03
Troj/SpamToo-AW
При запуске регистрирует себя как сервис "Windows Socket 2.0 Non-IFS Service Provider Support Environment", записывая необходимую информацию в раздел реестра HKLM\SYSTEM\CurrentControlSet\Services\WS2IFSL\.
Создаёт файл %System%\rsvp322.dll.
Создаёт ряд копий файла как %System%\rsvp322.dll[СЛУЧАЙНЫЕ_СИМВОЛЫ]. Эти файлы детектируются антивирусами Sophos как Troj/SpamToo-AR.
Также создаёт невредоносный файл %System%\sporder.dll.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Найти и остановить сервис, созданный червём.
Действие
Загружает из интернета и выполняет дополнительный вредоносный код.
Рассылает спам по заданию атакующего.
lastmylove
20.08.2007, 17:04
ZLFake.A
При первом запуске копирует себя в системную директорию (%System%) с именем из 8 случайных символов. Создаёт 24 задачи в "Планировщике" - от AT1.JOB до AT24.JOB.
При запуске в виртуальной машине модифицирует несколько файлов для обеспечения своей нормальной работы: WMWARERUSER.EXE и WMWARETRAY.EXE, находящиеся в "program files\VMWare\Vmware Tools\".
Связывается с удаленным сайтом http://194.12???3.157/ping/ для информирования атакующего о своём присутствии в системе.
Техническое название (PandaSecurity.com): W32/ZLFake.A.drp.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Устанавливает в "Планировщик задач" Windows (Task Scheduler) запуск себя каждый час. Подключается к удалённому URL для оповещения атакующего о присутствии в системе.
Источник: PandaSecurity.com
lastmylove
20.08.2007, 17:05
Worm_VB.FAX
При первом запуске копирует себя как:
%Program Files%\Windows NT\lsass.exe
%System%\drivers\smss.exe
Распространяется копированием себя на все доступные диски под именами:
Gwen(ISU) Scandal.exe
zeluR maeTCP.exe
Sex Video.exe
RECYCLER.exe
Вместе с исполняемым файлом копируется autorun.inf, обеспечивающий автозапуск трояну при подключении диска к системе.
Файл autorun.inf выглядит таким образом:
[Autorun]
Open=RECYCLER.exe
shellexecute = RECYCLER.exe
shell\Auto\command=RECYCLER.exe
Note=FuckUDoNotOpenThis
Псевдонимы: Worm.Win32.VB.ft(Kaspersky), W32/Generic.worm.h(McAfee), W32.SillyDC(Symantec), HEUR/Malware(Avira), W32/SillyFDC-Y(Sophos), Worm:Win32/VB!874C(Microsoft)
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Распространяется копированием себя на все диски, включая съёмные и гибкие.
Источник: TrendMicro.com
lastmylove
20.08.2007, 17:05
W32/MyDoom-BX
При первом запуске копирует себя в %System%\dvupdate.exe и создаёт файл %Temp%\[СЛУЧАЙНОЕ_ИМЯ].bat.
Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при каждом старте Windows:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \"Driver Update" = "%System%\dvupdate.exe"
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Рассылает себя по адресам электронной почты, найденным в файлах на зараженном компьютере; использует собственную процедуру отправки почты.
lastmylove
21.08.2007, 21:37
Js_Psyme.AFD
При запуске пытается подключиться к одному из URL и загрузить exe-файл (на момент анализа URL были недоступны) и выполнить его, используя критическую уязвимость в функции Microsoft Data Access Component (бюллетень Microsoft MS06-014.)
http://???.182.94/xxx.exe
http://???.37.146/down/123.exe
Http://???z/111.exe
http://???f.com.cn/xxx.exe
http://???gmf.com.cn/123.exe
http://???ay.com/tsky1/002.exe
http://???o.108.tofor.com/xz.exe
http://???ee.77169.net/gmen/m/22.exe
http://www.???om/Images/gege.exe
http://www.???.cn/mm.exe
http://www.???/help.exe
http://www.???m/d.exe
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троянский код на JavaScript; поступает на компьютер при помощи других вредоносных программ либо при посещении пользователем вредоносных веб-страниц.
Пытается загрузить на компьютер дополнительный вредоносный код; использует критическую уязвимость в функции Microsoft Data Access Component (бюллетень Microsoft MS06-014).
Источник: TrendMicro.com
lastmylove
21.08.2007, 21:40
Worm_Agobot.KH
При первом запуске записывает себя в системную директорию Windows как REGSVS.EXE.
Записывает ссылку на себя в раздел реестра, обеспечивающий автозагрузку приложений при каждом старте системы.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\Compatibility Service Process = "regsvs.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunServices\Compatibility Service Process = "regsvs.exe"
Удаляет файл, из которого был запущен; выполнение продолжается в REGSVS.EXE.
Распространяется, используя критические уязвимости в Windows и IIS к удалённому выполнению произвольного кода без участия пользователя
Windows RPC-DCOM (бюллетень MS03-026) - сканирует случайные IP-адреса и пытается эксплуатировать уязвимость через TCP/IP порт 135
Windows RPC Locator (бюллетень MS03-001) - порт 445
Windows NT IIS5/WEBDAV (бюллетень MS03-007)
Ищет совместно используемые сетевые ресурсы и копирует себя на них:
admin$
c$
d$
e$
print$
Если доступ на запись защищён паролем, подбирает его по словарю.
Словарь имён:
Admin
admin
administrador
Administrador
Administrat
Administrateur
administrator
Administrator
admins
computer
Convidado
Coordinatore
database
Default
default
Guest
Inviter
kanri
kanri-sha
mysql
netbios
Ospite
OWNER
owner
Owner
server
Standard
student
teacher
Verwalter
wwwadmin
Словарь паролей:
000000
00000000
111111
11111111
121212
123123
12345
123456
1234567
12345678
123456789
1234qwer
123abc
123asd
123qwe
54321
654321
88888888
abc123
admin123
alpha
asdfghjkl
changeme
enable
foobar
godblessyou
homework
ihavenopass
Internet
Login
metal
mybaby
mybox
mypass
oracle
passwd
Password
Password
password123
patrick
penis
poiuytrewq
private
pussy
qwerty
qwertyuiop
red123
school
secret
secrets
super
superman
supersecret
sybase
test123
vagina
werty
xxyyzz
zxcvbnm
Крадёт информацию о ключах к компакт-дискам следущих игр:
Battlefield 1942
Battlefield 1942 Secret Weapons of WWII
Battlefield 1942 The Road to Rome
Command & Conquer Generals
Counter-Strike
FIFA 2002
FIFA 2003
Hidden and Dangerous 2 CDKey (%s)
Nascar Racing 2002
Nascar Racing 2003
Need For Speed Hot Pursuit 2
Neverwinter
NHL 2002
NHL 2003
Nox
Project IGI 2
Red Alert 2
Soldier of Fortune II - Double Helix
Techland Chrome
The Gladiators
Tiberian Sun
Unreal Technology 2003
Завершает процессы:
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
AckWin32.EXE
ACKWIN32.EXE
ADVXDWIN.EXE
AGENTSVR.EXE
agentw.EXE
ALERTSVC.EXE
ALOGSERV.EXE
AMON9X.EXE
ANTI-TROJAN.EXE
ANTIVIRUS.EXE
ANTS.EXE
APIMONITOR.EXE
APLICA32.EXE
apvxdwin.EXE
APVXDWIN.EXE
ATCON.EXE
ATGUARD.EXE
ATRO55EN.EXE
ATUPDATER.EXE
ATWATCH.EXE
AUPDATE.EXE
AUTODOWN.EXE
AutoTrace.EXE
AUTOUPDATE.EXE
AVCONSOL.EXE
AVE32.EXE
AVGCC32.EXE
Avgctrl.EXE
AVGCTRL.EXE
AVGNT.EXE
AvgServ.EXE
AVGSERV.EXE
AVGSERV9.EXE
AVGUARD.EXE
AVGW.EXE
avkpop.EXE
AvkServ.EXE
avkservice.EXE
avkwctl9.EXE
AVNT.EXE
AVP.EXE
AVP32.EXE
AVPCC.EXE
AVPDOS32.EXE
avpm.EXE
AVPM.EXE
AVPTC32.EXE
AVPUPD.EXE
Avsched32.EXE
AvSynMgr.AVSYNMGR.EXE
AVWIN95.EXE
AVWINNT.EXE
AVWUPD32.EXE
AVWUPSRV.EXE
AVXMONITOR9X.EXE
AVXMONITORNT.EXE
AVXQUAR.EXE
BD_PROFESSIONAL.EXE
BIDEF.EXE
BIDSERVER.EXE
BIPCP.EXE
BIPCPEVALSETUP.EXE
BISP.EXE
blackd.EXE
BLACKD.EXE
BlackICE.EXE
BLACKICE.EXE
BOOTWARN.EXE
BORG2.EXE
BS120.EXE
ccApp.EXE
ccEvtMgr.EXE
ccPxySvc.EXE
CDP.EXE
CFGWIZ.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET.EXE
CFINET32.EXE
Claw95.EXE
Claw95cf.EXE
CLAW95CF.EXE
CLEAN.EXE
cleaner.EXE
CLEANER.EXE
cleaner3.EXE
CLEANER3.EXE
CLEANPC.EXE
CMGRDIAN.EXE
CMON016.EXE
CONNECTIONMONITOR.EXE
cpd.EXE
CPD.EXE
CPF9X206.EXE
CPFNT206.EXE
CTRL.EXE
CV.EXE
CWNB181.EXE
CWNTDWMO.EXE
defalert.EXE
defscangui.EXE
DEFWATCH.EXE
DEPUTY.EXE
DOORS.EXE
DPF.EXE
DPFSETUP.EXE
DRWATSON.EXE
DRWEB32.EXE
DVP95.EXE
DVP95_0.EXE
ECENGINE.EXE
EFPEADM.EXE
ENT.EXE
ESAFE.EXE
ESCANH95.EXE
ESCANHNT.EXE
ESCANV95.EXE
ESPWATCH.EXE
ETRUSTCIPE.EXE
EVPN.EXE
EXANTIVIRUS-CNET.EXE
EXE.AVXW.EXE
EXPERT.EXE
F-AGNT95.EXE
fameh32.EXE
FAST.EXE
fch32.EXE
fih32.EXE
FINDVIRU.EXE
FIREWALL.EXE
FLOWPROTECTOR.EXE
fnrb32.EXE
FPROT.EXE
F-PROT.EXE
F-PROT95.EXE
FP-WIN.EXE
FP-WIN_TRIAL.EXE
FRW.EXE
fsaa.EXE
FSAV.EXE
fsav32.EXE
FSAV530STBYB.EXE
FSAV530WTBYB.EXE
FSAV95.EXE
fsgk32.EXE
fsm32.EXE
fsma32.EXE
fsmb32.EXE
f-stopw.EXE
F-STOPW.EXE
gbmenu.EXE
GBMENU.EXE
gbpoll.EXE
GBPOLL.EXE
GENERICS.EXE
GUARD.EXE
GUARDDOG.EXE
HACKTRACERSETUP.EXE
HTLOG.EXE
HWPE.EXE
iamapp.EXE
IAMAPP.EXE
iamserv.EXE
IAMSERV.EXE
IAMSTATS.EXE
IBMASN.EXE
IBMAVSP.EXE
ICLOAD95.EXE
ICLOADNT.EXE
ICMON.EXE
ICSUPP95.EXE
ICSUPPNT.EXE
IFACE.EXE
IFW2000.EXE
IOMON98.EXE
IPARMOR.EXE
IRIS.EXE
ISRV95.EXE
JAMMER.EXE
JEDI.EXE
KAVLITE40ENG.EXE
KAVPERS40ENG.EXE
KAVPF.EXE
KERIO-PF-213-EN-WIN.EXE
KERIO-WRL-421-EN-WIN.EXE
KERIO-WRP-421-EN-WIN.EXE
KILLPROCESSSETUP161.EXE
LDNETMON.EXE
LDPRO.EXE
LDPROMENU.EXE
LDSCAN.EXE
LOCALNET.EXE
LOCKDOWN.EXE
lockdown2000.EXE
LOCKDOWN2000.EXE
LOOKOUT.EXE
LSETUP.EXE
LUALL.EXE
LUAU.EXE
LUCOMSERVER.EXE
LUINIT.EXE
LUSPT.EXE
MCAGENT.EXE
MCMNHDLR.EXE
Mcshield.EXE
MCTOOL.EXE
MCUPDATE.EXE
MCVSRTE.EXE
MCVSSHLD.EXE
MFW2EN.EXE
MFWENG3.02D30.EXE
MGAVRTCL.EXE
MGAVRTE.EXE
MGHTML.EXE
MGUI.EXE
MINILOG.EXE
Monitor.EXE
MONITOR.EXE
MOOLIVE.EXE
MPFAGENT.EXE
MPFSERVICE.EXE
MPFTRAY.EXE
MRFLUX.EXE
MSCONFIG.EXE
MSINFO32.EXE
MSSMMC32.EXE
MU0311AD.EXE
MWATCH.EXE
N32SCANW.EXE
NAV Auto-Protect.NAV80TRY.EXE
NAVAP.navapsvc.EXE
NAVAPSVC.EXE
NAVAPW32.EXE
NAVDX.EXE
NAVENGNAVEX15.NAVLU32.EXE
NAVLU32.EXE
NAVNT.EXE
NAVSTUB.EXE
Navw32.EXE
NAVW32.EXE
NAVWNT.EXE
NC2000.EXE
NCINST4.EXE
NDD32.EXE
NEOMONITOR.EXE
NeoWatchLog.EXE
NETARMOR.EXE
NETINFO.EXE
NETMON.EXE
NETSCANPRO.EXE
NETSPYHUNTER-1.2.EXE
NETSTAT.EXE
NETUTILS.EXE
NISSERV.EXE
NISUM.EXE
NMAIN.EXE
NOD32.EXE
NORMIST.EXE
NORTON_INTERNET_SECU_3.0_407.EXE
notstart.EXE
NPF40_TW_98_NT_ME_2K.EXE
NPFMESSENGER.EXE
NPROTECT.EXE
npscheck.EXE
NPSSVC.EXE
NSCHED32.EXE
ntrtscan.EXE
NTVDM.EXE
NTXconfig.EXE
Nui.EXE
Nupgrade.EXE
NVARCH16.EXE
NVC95.EXE
nvsvc32.EXE
NWINST4.EXE
NWService.EXE
NWTOOL16.EXE
OSTRONET.EXE
OUTPOST.EXE
OUTPOSTINSTALL.EXE
OUTPOSTPROINSTALL.EXE
PADMIN.EXE
PANIXK.EXE
PAVCL.EXE
pavproxy.EXE
PAVPROXY.EXE
PAVSCHED.EXE
PAVW.EXE
PCC2002S902.EXE
PCC2K_76_1436.EXE
PCCIOMON.EXE
pccntmon.EXE
pccwin97.EXE
PCCWIN98.EXE
PCDSETUP.EXE
PCFWALLICON.EXE
PCIP10117_0.EXE
pcscan.EXE
PDSETUP.EXE
PERISCOPE.EXE
PERSFW.EXE
PERSWF.EXE
PF2.EXE
PFWADMIN.EXE
PINGSCAN.EXE
PLATIN.EXE
POP3TRAP.EXE
POPROXY.EXE
POPSCAN.EXE
PORTDETECTIVE.EXE
PORTMONITOR.EXE
PPINUPDT.EXE
PPTBC.EXE
PPVSTOP.EXE
PROCESSMONITOR.EXE
PROCEXPLORERV1.0.EXE
PROGRAMAUDITOR.EXE
PROPORT.EXE
PROTECTX.EXE
PSPF.EXE
PURGE.EXE
PVIEW95.EXE
QCONSOLE.EXE
QSERVER.EXE
rapapp.EXE
RAV7.EXE
RAV7WIN.EXE
RAV8WIN32ENG.EXE
REALMON.EXE
REGEDIT.EXE
REGEDT32.EXE
RESCUE.EXE
RESCUE32.EXE
RRGUARD.EXE
RSHELL.EXE
rtvscan.EXE
RTVSCN95.EXE
RULAUNCH.EXE
SAFEWEB.EXE
sbserv.EXE
SBSERV.EXE
SCAN32.EXE
SCAN95.EXE
SCANPM.EXE
SCRSCAN.EXE
SD.EXE
SERV95.EXE
SETUP_FLOWPROTECTOR_US.EXE
SETUPVAMEEVAL.EXE
SFC.EXE
SGSSFW32.EXE
SH.EXE
SHELLSPYINSTALL.EXE
SHN.EXE
SMC.EXE
SOFI.EXE
SPF.EXE
Sphinx.EXE
SPHINX.EXE
SPYXX.EXE
SS3EDIT.EXE
ST2.EXE
SUPFTRL.EXE
SUPPORTER5.EXE
SWEEP95.EXE
SweepNet.SWEEPSRV.SYS.SWNETSUP.EXE
SymProxySvc.EXE
SYMPROXYSVC.EXE
SYMTRAY.EXE
SYSEDIT.EXE
TASKMON.EXE
TAUMON.EXE
TBSCAN.EXE
TC.EXE
TCA.EXE
TCM.EXE
TDS2-98.EXE
TDS2-NT.EXE
TDS-3.EXE
TFAK.EXE
TFAK5.EXE
TGBOB.EXE
TITANIN.EXE
TITANINXP.EXE
TRACERT.EXE
TRJSCAN.EXE
TRJSETUP.EXE
TROJANTRAP3.EXE
UNDOBOOT.EXE
UPDATE.EXE
vbcmserv.EXE
VBCMSERV.EXE
VbCons.EXE
VBCONS.EXE
VBUST.EXE
VBWIN9X.EXE
VBWINNTW.EXE
VCSETUP.EXE
VET32.EXE
Vet95.EXE
VET95.EXE
VetTray.EXE
VETTRAY.EXE
VFSETUP.EXE
VIR-HELP.EXE
VIRUSMDPERSONALFIREWALL.EXE
VNLAN300.EXE
VNPC3000.EXE
VPC32.EXE
VPC42.EXE
VPFW30S.EXE
VPTRAY.EXE
VSCAN40.EXE
VSCENU6.02D30.EXE
VSCHED.EXE
VSECOMR.EXE
vshwin32.EXE
VSISETUP.EXE
VSMAIN.EXE
vsmon.EXE
VSMON.EXE
VSSTAT.EXE
VSWIN9XE.EXE
VSWINNTSE.EXE
VSWINPERSE.EXE
W32DSM89.EXE
W9X.EXE
WATCHDOG.EXE
WEBSCANX.EXE
WEBTRAP.EXE
WFINDV32.EXE
WGFE95.EXE
WHOSWATCHINGME.EXE
WIMMUN32.EXE
WINRECON.EXE
WNT.EXE
WrAdmin.EXE
WRADMIN.EXE
WrCtrl.EXE
WRCTRL.EXE
WSBGATE.EXE
WYVERNWORKSFIREWALL.EXE
XPF202EN.EXE
zapro.EXE
ZAPRO.EXE
ZAPSETUP3001.EXE
ZATUTOR.EXE
ZAUINST.EXE
ZONALM2601.EXE
zonealarm.EXE
ZONEALARM.EXE
Блокирует доступ к сайтами антивирусов, сопоставляя их доменным именам адрес локальной машины (127.0.0.1) в файле %System%\drivers\etc\hosts (Windows NT - Vista) или %Windir%\hosts (Windows 95 - ME).
Список блокируемых сайтов:
avp.com
ca.com
customer.symantec.com
dispatch.mcafee.com
download.mcafee.com
f-secure.com
kaspersky.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
mast.mcafee.com
mcafee.com
my-etrust.com
nai.com
networkassociates.com
rads.mcafee.com
secure.nai.com
securityresponse.symantec.com
sophos.com
symantec.com
trendmicro.com
update.symantec.com
updates.symantec.com
us.mcafee.com
viruslist.com
viruslist.com
www.avp.com
www.ca.com
www.f-secure.com
www.grisoft.com
www.kaspersky.com
www.mcafee.com
www.my-etrust.com
www.nai.com
www.networkassociates.com
www.sophos.com
www.symantec.com
www.trendmicro.com
www.viruslist.com
(Антивирусы Trend Micro определяют изменённый файл hosts как DOS_AGOBOT.HM.)
Ищет в сети компьютеры, зараженные червём Worm_Bagle.
Удаляет процессы, предположительно, принадлежащие другим вредоносным программам:
BBEAGLE.EXE
D3DUPDATE.EXE
I11R54N4.EXE
IRUN4.EXE
RATE.EXE
SSATE.EXE
SSATE.EXE
TASKMON.EXE
WINSYS.EXE
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Крадёт регистрационные ключи к игровым компакт-дискам.
Ослабляет настройки безопасности системы.
Распространяется копированием на сетевые директории других компьютеров; в случае, если директория защищена от записи, пытается подобрать пароль по словарю. Также использует для внедрения на другие компьютеры критические уязвимости Windows к удаленному выполнению произвольного кода, не требующие вмешательства пользователя (MS03-026, MS03-001, MS03-007).
Открывает на компьютере "чёрный ход", подключаясь к одному из каналов IRC-сервера. Может выполнять следующие команды:
Отправить данные о скорости процессора, свободной оперативной памяти и общем объёме памяти, версии и сборке Windows, длительность работы червя в системе, имя текущего пользователя
Отключить сетевые совместно используемые директории или DCOM
Открыть и выполнить файл
Завершить работу червя
Получить состояние червя
Обновить себя через HTTP или FTP
Загрузить через HTTP или FTP и выполнить произвольный файл
Выполнить заданный EXE файл
Получить IP или имя хоста по DNS
Открыть файл
Очистить DNS-кэш
Отключиться или переподключиться к IRC-серверу
Выбрать IRC-сервер
Перезагрузить или выключить компьютер
Отключить текущего пользователя
Передать список процессов
Завершить работу процесса
Содержит процедуры для участии в DDoS-атаках через HTTP, ICMP, а также атаках типа SYN и UDP.
Обладает функционалом HTTP-прокси и может перенаправлять порты GRE и TCP.
Отключает доступ к антивирусным сайтам.
Уничтожает процессы, принадлежащие различным червям и троянам.
Источник: TrendMicro.com
lastmylove
23.08.2007, 07:30
Spyware.MSNSpyMonitor
При установке создает следующие файлы:
%UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\MsnSpy.lnk
%UserProfile%\Desktop\MsnSpy.lnk
%UserProfile%\Start Menu\Programs\MsnSpy\MsnSpy Help.lnk
%UserProfile%\Start Menu\Programs\MsnSpy\MsnSpy.lnk
%UserProfile%\Start Menu\Programs\MsnSpy\Uninstall.lnk
%ProgramFiles%\MsnSpy\msnspy.chm
%ProgramFiles%\MsnSpy\msnspy.exe
%ProgramFiles%\MsnSpy\readme.rtf
%ProgramFiles%\MsnSpy\Uninstall.exe
%ProgramFiles%\MsnSpy\WinPcap_3_1.exe
Создает подключи реестра:
HKEY_ALL_USERS\Software\MsnSpy
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\MsnSpy
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Шпионская программа, ведущая журнал переговоров в интернет-пейджерах Microsoft (Windows Live Messenger, MSN Messenger и Windows Messenger).
Источник: Symantec.com
lastmylove
23.08.2007, 07:34
Worm_Agobot.JS
При первом запуске копирует себя в системную директорию Windows под именем nse.exe.
Записывает ссылку на себя в раздел реестра, обеспечивающий автозагрузку приложений при каждом старте системы:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\nse = "nse.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunServices\nse = "nse.exe"
Удаляет файл, с которого запустился первоначально, запуская nse.exe.
Пытается скопировать себя на сетевые ресурсы, установленные в NT по умолчанию: admin$, c$, d$, e$, print$.
Подбирает имена и пароли, если ресурсы защищены, используя словарь:
!@#$
!@#$%
!@#$%
!@#$%
!@#$%
&
&*
000000
00000000
007
1
110
111
111111
11111111
12
121212
123
123123
1234
12345
123456
1234567
12345678
123456789
1234qwer
123abc
123asd
123qwe
1776
1778
2002
2004
23
2525
2600
42
54321
654321
666
69
88888888
aaa
abc
abc123
abcd
ACCESS
admin
Admin
admin123
Administrador
administrador
Administrat
Administrateur
Administrator
administrator
ADMINISTRATOR
admins
alpha
ami
amie
asdf
asdfgh
asdfghjkl
askaban
ASP
athlon
azerty
azkaban
baby
backdoor
BACKUP
beer
bi
biere
bill
bong
BOX
Box
box
buckbeak
c
carte
cauldron
cederom
changeme
CNN
colin
computer
Convidado
Coordinatore
copin
copine
cran
crash
d
database
Default
Dell
dementor
devil
dick
dope
drugs
dude
dumbledore
ecran
enable
erik
fanny
feds
fish
foobar
fool
freak
fucked
Gast
gay
george
god
godblessyou
gryffindor
Guest
hagrid
harry
hax
hermine
hermione
hogwarts
home
homework
idiot
ihavenopass
imprimeur
Internet
Inviter
iraq
jackdaniels
jim
kanri
kanri-sha
karl
kate
kids
kt
leet
linux
LOCAL
Login
lol
love
madre
mark
mary
merde
metal
mgmt
mike
mince
moonshine
mouse
mybaby
mybox
mypass
mypc
mysql
newfie
newfy
noob
OEM
oil
opteron
oracle
ordinateur
Ospite
own
owned
owner
OWNER
Owner
pass
PASSWD
passwd
Password
password
Password
password123
pat
patrick
pc
penis
peter
PHP
poiut
poiuytrewq
porn
potter
private
pussy
pw
pwd
pwned
quidditch
qwer
qwerty
qwertyuiop
r
r00t
re
red123
reseau
rom
root
ROOT
rooted
school
secret
secrets
SERVER
sex
share
souris
sql
stacey
stacy
Standard
stefan
steve
steven
student
super
superman
supersecret
switch
sybase
SYSTEM
teacher
temp
TEMP
Tennessee
tennessee
Test
TEST
test123
texas
Texas
tim
tom
UNIX
user
User
vagina
Verwalter
washington
Washington
werty
West
west
wh0re
whiskey
whisky
whore
win
windows2k
windows98
windowsME
WindowsXP
windoze
wmd
work
wwwadmin
x
xp
xxx
xxyyzz
xyz
yxcv
z
zxcv
zxcvbnm
Распространяется, используя три эксплоита к критическим уязвимостям в Windows, не требующих участия пользователя для выполнения произволного кода. Сканирует порты произвольных компьютеров, перебирая IP-адреса инкрементально.
Windows NT, XP - RPC-DCOM (MS03-026), порт 135
Windows NT - RPC Locator (MS03-001), порт 445
Windows NT - IIS5/WEBDAV (MS03-007)
Подключается к IRC для приёма команд атакующего. Функционал IRC-бота:
Присвоить новое случайное имя боту
Показать статус бота и системную информацию о захваченном компьютере
Выход с IRC и завершение работы червя
Изменить имя бота
Полностью удалить бота из системы
Показать версию или ID бота
Показать данные о боте
Заставить бота выполнить заданный exe файл
Открыть файл, чей тип зарегистрирован в уязвимой системе
Удалить бота по ID
Повторить предыдущую команду заданное число раз
Получить IP или имя хоста по DNS
Отключить бота.
Поддерживает команды работы с переменными CVAR:
Получить список Cvar
Получить значение Cvar
Установить значение Cvar
Контролирует работу с IRC:
Получить информацию о сети
Отключить бота от IRC
Изменить серверные Cvars или режимы IRC
Подключить бота к каналу, покинуть канал
Выйти или переподключиться к серверу
Ответить на сетевой запрос, если имя хоста содержит строку ".edu" или указанную строку
Отправить через бота сообщение в канал
Отправить сообщение action в канал (/me)
Отправить персональное сообщение заданному пользователю
Червь также предоставляет функционал прокси:
Перенаправляет TCP-порт
Перенаправляет трафик GRE, представляя прокси PPTP VPN
Отключает перенаправления по запросу
Выполняет следующие команды работы с файлами через IRC-бота:
Загрузка файла с FTP или HTTP в заданную локальную директорию
Загрузка файла с FTP или HTTP в заданную локальную директорию с перезаписью существующего файла
Загрузка файла с FTP или HTTP в заданную локальную директорию и его запуск
Крадёт ключи к игровым компакт-дискам следующих игр:
Battlefield 1942
Battlefield 1942: Secret Weapons Of WWII
Battlefield 1942: The Road To Rome
Battlefield 1942: Vietnam
Black and White
Command and Conquer: Generals
Command and Conquer: Generals: Zero Hour
Command and Conquer: Red Alert2
Command and Conquer: Tiberian Sun
Counter-Strike
FIFA 2002
FIFA 2003
Freedom Force
Global Operations
Gunman Chronicles
Half-Life
Hidden and Dangerous 2
IGI2: Covert Strike
Industry Giant 2
James Bond 007 Nightfire
Medal of Honor: Allied Assault
Medal of Honor: Allied Assault: Breakthrough
Medal of Honor: Allied Assault: Spearhead
Nascar Racing 2002
Nascar Racing 2003
Need For Speed: Hot Pursuit 2
Need For Speed: Underground
Neverwinter Nights
NHL 2002
NHL 2003
Ravenshield
Shogun: Total War: Warlord Edition
Soldier of Fortune II - Double Helix
Soldiers Of Anarchy
The Gladiators
Unreal Tournament 2003
Unreal Tournament 2004
Может осуществлять DDoS-атаки - HTTP, SYN, UDP и ICMP.
Завершает процессы, принадлежащие антивирусным программам и брандмауэрам:
_AVP32.EXE
_AVPCC.EXE
_AVPM.EXE
ACKWIN32.EXE
ADAWARE.EXE
ADVXDWIN.EXE
AGENTSVR.EXE
AGENTW.EXE
ALERTSVC.EXE
ALEVIR.EXE
ALOGSERV.EXE
AMON9X.EXE
ANTI-TROJAN.EXE
ANTIVIRUS.EXE
ANTS.EXE
APIMONITOR.EXE
APLICA32.EXE
APVXDWIN.EXE
ARR.EXE
ATCON.EXE
ATGUARD.EXE
ATRO55EN.EXE
ATUPDATER.EXE
ATWATCH.EXE
AU.EXE
AUPDATE.EXE
AUTODOWN.EXE
AUTO-PROTECT.NAV80TRY.EXE
AUTOTRACE.EXE
AUTOUPDATE.EXE
AVCONSOL.EXE
AVE32.EXE
AVGCC32.EXE
AVGCTRL.EXE
AVGNT.EXE
AVGSERV.EXE
AVGSERV9.EXE
AVGUARD.EXE
AVGW.EXE
AVKPOP.EXE
AVKSERV.EXE
AVKSERVICE.EXE
AVKWCTl9.EXE
AVLTMAIN.EXE
AVNT.EXE
AVP.EXE
AVP32.EXE
AVPCC.EXE
AVPDOS32.EXE
AVPM.EXE
AVPTC32.EXE
AVPUPD.EXE
AVSCHED32.EXE
AVSYNMGR.EXE
AVWIN95.EXE
AVWINNT.EXE
AVWUPD.EXE
AVWUPD32.EXE
AVWUPSRV.EXE
AVXMONITOR9X.EXE
AVXMONITORNT.EXE
AVXQUAR.EXE
BACKWEB.EXE
BARGAINS.EXE
BD_PROFESSIONAL.EXE
BEAGLE.EXE
BELT.EXE
BIDEF.EXE
BIDSERVER.EXE
BIPCP.EXE
BIPCPEVALSETUP.EXE
BISP.EXE
BLACKD.EXE
BLACKICE.EXE
BLSS.EXE
BOOTCONF.EXE
BOOTWARN.EXE
BORG2.EXE
BPC.EXE
BRASIL.EXE
BS120.EXE
BUNDLE.EXE
BVT.EXE
CCAPP.EXE
CCEVTMGR.EXE
CCPXYSVC.EXE
CDP.EXE
CFD.EXE
CFGWIZ.EXE
CFIADMIN.EXE
CFIAUDIT.EXE
CFINET.EXE
CFINET32.EXE
Claw95.EXE
CLAW95CF.EXE
CLEAN.EXE
CLEANER.EXE
CLEANER3.EXE
CLEANPC.EXE
CLICK.EXE
CMD32.EXE
CMESYS.EXE
CMGRDIAN.EXE
CMON016.EXE
CONNECTIONMONITOR.EXE
CPD.EXE
CPF9X206.EXE
CPFNT206.EXE
CTRL.EXE
CV.EXE
CWNB181.EXE
CWNTDWMO.EXE
DATEMANAGER.EXE
DCOMX.EXE
DEFALERT.EXE
DEFSCANGUI.EXE
DEFWATCH.EXE
DEPUTY.EXE
DIVX.EXE
DLLCACHE.EXE
DLLREG.EXE
DOORS.EXE
DPF.EXE
DPFSETUP.EXE
DPPS2.EXE
DRWATSON.EXE
DRWEB32.EXE
DRWEBUPW.EXE
DSSAGENT.EXE
DVP95.EXE
DVP95_0.EXE
ECENGINE.EXE
EFPEADM.EXE
EMSW.EXE
ENT.EXE
ESAFE.EXE
ESCANH95.EXE
ESCANHNT.EXE
ESCANV95.EXE
ESPWATCH.EXE
ETHEREAL.EXE
ETRUSTCIPE.EXE
EVPN.EXE
EXANTIVIRUS-CNET.EXE
EXE.AVXW.EXE
EXPERT.EXE
EXPLORE.EXE
F-AGNT95.EXE
F-AGOBOT.EXE
FAMEH32.EXE
FAST.EXE
FCH32.EXE
FIH32.EXE
FINDVIRU.EXE
FIREWALL.EXE
FLOWPROTECTOR.EXE
FNRB32.EXE
FPROT.EXE
F-PROT.EXE
F-PROT95.EXE
FP-WIN.EXE
FP-WIN_TRIAL.EXE
FRW.EXE
FSAA.EXE
FSAV.EXE
FSAV32.EXE
FSAV530STBYB.EXE
FSAV530WTBYB.EXE
FSAV95.EXE
FSGK32.EXE
FSM32.EXE
FSMA32.EXE
FSMB32.EXE
F-STOPW.EXE
GATOR.EXE
GBMENU.EXE
GBPOLL.EXE
GENERICS.EXE
GMT.EXE
GUARD.EXE
GUARDDOG.EXE
HACKTRACERSETUP.EXE
HBINST.EXE
HBSRV.EXE
HIJACKTHIS.EXE
HOTACTIO.EXE
HOTPATCH.EXE
HTLOG.EXE
HTPATCH.EXE
HWPE.EXE
HXDL.EXE
HXIUL.EXE
IAMAPP.EXE
IAMSERV.EXE
IAMSTATS.EXE
IBMASN.EXE
IBMAVSP.EXE
ICLOAD95.EXE
ICLOADNT.EXE
ICMON.EXE
ICSUPP95.EXE
ICSUPPNT.EXE
IDLE.EXE
IEDLL.EXE
IEDRIVER.EXE
IEXPLORER.EXE
IFACE.EXE
IFW2000.EXE
INETLNFO.EXE
INFUS.EXE
INFWIN.EXE
INIT.EXE
INTDEL.EXE
INTREN.EXE
IOMON98.EXE
IPARMOR.EXE
IRIS.EXE
ISASS.EXE
ISRV95.EXE
ISTSVC.EXE
JAMMER.EXE
JDBGMRG.EXE
JEDI.EXE
KAVLITE40ENG.EXE
KAVPERS40ENG.EXE
KAVPF.EXE
KAZZA.EXE
KEENVALUE.EXE
KERIO-PF-213-EN-WIN.EXE
KERIO-WRL-421-EN-WIN.EXE
KERIO-WRP-421-EN-WIN.EXE
KERNEL32.EXE
KILLPROCESSSETUP161.EXE
LAUNCHER.EXE
LDNETMON.EXE
LDPRO.EXE
LDPROMENU.EXE
LDSCAN.EXE
LNETINFO.EXE
LOADER.EXE
LOCALNET.EXE
LOCKDOWN.EXE
LOCKDOWN2000.EXE
LOOKOUT.EXE
LORDPE.EXE
LSETUP.EXE
LUALL.EXE
LUAU.EXE
LUCOMSERVER.EXE
LUINIT.EXE
LUSPT.EXE
MAPISVC32.EXE
MCAGENT.EXE
MCMNHDLR.EXE
MCSHIELD.EXE
MCTOOL.EXE
MCUPDATE.EXE
MCVSRTE.EXE
MCVSSHLD.EXE
MD.EXE
MFIN32.EXE
MFW2EN.EXE
MFWENG3.02D30.EXE
MGAVRTCL.EXE
MGAVRTE.EXE
MGHTML.EXE
MGUI.EXE
MINILOG.EXE
MMOD.EXE
MONITOR.EXE
MOOLIVE.EXE
MOSTAT.EXE
MPFAGENT.EXE
MPFSERVICE.EXE
MPFTRAY.EXE
MRFLUX.EXE
MSAPP.EXE
MSBB.EXE
MSBLAST.EXE
MSCACHE.EXE
MSCCN32.EXE
MSCMAN.EXE
MSCONFIG.EXE
MSDM.EXE
MSDOS.EXE
MSIEXEC16.EXE
MSINFO32.EXE
MSLAUGH.EXE
MSMGT.EXE
MSMSGRI32.EXE
MSSMMC32.EXE
MSSYS.EXE
MSVXD.EXE
MU0311AD.EXE
MWATCH.EXE
N32SCANW.EXE
NAV.EXE
NAVAP.NAVAPSVC.EXE
NAVAPSVC.EXE
NAVAPW32.EXE
NAVDX.EXE
NAVENGNAVEX15.NAVLU32.EXE
NAVLU32.EXE
NAVNT.EXE
NAVSTUB.EXE
NAVW32.EXE
NAVWNT.EXE
NC2000.EXE
NCINST4.EXE
NDD32.EXE
NEOMONITOR.EXE
NEOWATCHLOG.EXE
NETARMOR.EXE
NETD32.EXE
NETINFO.EXE
NETMON.EXE
NETSCANPRO.EXE
NETSPYHUNTER-1.2.EXE
NETSTAT.EXE
NETUTILS.EXE
NISSERV.EXE
NISUM.EXE
NMAIN.EXE
NOD32.EXE
NORMIST.EXE
NORTON_INTERNET_SECU_3.0_407.EXE
NOTSTART.EXE
NPF40_TW_98_NT_ME_2K.EXE
NPFMESSENGER.EXE
NPROTECT.EXE
NPSCHECK.EXE
NPSSVC.EXE
NSCHED32.EXE
NSSYS32.EXE
NSTASK32.EXE
NSUPDATE.EXE
NT.EXE
NTRTSCAN.EXE
NTVDM.EXE
NTXconfig.EXE
NUI.EXE
NUPGRADE.EXE
NVARCH16.EXE
NVC95.EXE
NVSVC32.EXE
NWINST4.EXE
NWSERVICE.EXE
NWTOOL16.EXE
OLLYDBG.EXE
ONSRVR.EXE
OPTIMIZE.EXE
OSTRONET.EXE
OTFIX.EXE
OUTPOST.EXE
OUTPOSTINSTALL.EXE
OUTPOSTPROINSTALL.EXE
PADMIN.EXE
PANIXK.EXE
PATCH.EXE
PAVCL.EXE
PAVPROXY.EXE
PAVSCHED.EXE
PAVW.EXE
PCC2002S902.EXE
PCC2K_76_1436.EXE
PCCIOMON.EXE
PCCNTMON.EXE
PCCWIN97.EXE
PCCWIN98.EXE
PCDSETUP.EXE
PCFWALLICON.EXE
PCIP10117_0.EXE
PCSCAN.EXE
PDSETUP.EXE
PENIS.EXE
PERISCOPE.EXE
PERSFW.EXE
PERSWF.EXE
PF2.EXE
PFWADMIN.EXE
PGMONITR.EXE
PINGSCAN.EXE
PLATIN.EXE
POP3TRAP.EXE
POPROXY.EXE
POPSCAN.EXE
PORTDETECTIVE.EXE
PORTMONITOR.EXE
POWERSCAN.EXE
PPINUPDT.EXE
PPTBC.EXE
PPVSTOP.EXE
PRIZESURFER.EXE
PRMT.EXE
PRMVR.EXE
PROCDUMP.EXE
PROCESSMONITOR.EXE
PROCEXPLORERV1.0.EXE
PROGRAMAUDITOR.EXE
PROPORT.EXE
PROTECTX.EXE
PSPF.EXE
PURGE.EXE
PUSSY.EXE
PVIEW95.EXE
QCONSOLE.EXE
QSERVER.EXE
RAPAPP.EXE
RAV7.EXE
RAV7WIN.EXE
RAV8WIN32ENG.EXE
RAY.EXE
RB32.EXE
RCSYNC.EXE
REALMON.EXE
REGED.EXE
REGEDIT.EXE
REGEDT32.EXE
RESCUE.EXE
RESCUE32.EXE
RRGUARD.EXE
RSHELL.EXE
RTVSCAN.EXE
RTVSCN95.EXE
RULAUNCH.EXE
RUN32DLL.EXE
RUNDLL.EXE
RUNDLL16.EXE
RUXDLL32.EXE
SAFEWEB.EXE
SAHAGENT.EXE
SAVE.EXE
SAVENOW.EXE
SBSERV.EXE
SC.EXE
SCAM32.EXE
SCAN32.EXE
SCAN95.EXE
SCANPM.EXE
SCRSCAN.EXE
SCRSVR.EXE
SCVHOST.EXE
SD.EXE
SERV95.EXE
SERVICE.EXE
SERVLCE.EXE
SERVLCES.EXE
SETUP_FLOWPROTECTOR_US.EXE
SETUPVAMEEVAL.EXE
SFC.EXE
SGSSFW32.EXE
SH.EXE
SHELLSPYINSTALL.EXE
SHN.EXE
SHOWBEHIND.EXE
SMC.EXE
SMS.EXE
SMSS32.EXE
SOAP.EXE
SOFI.EXE
SPERM.EXE
SPF.EXE
SPHINX.EXE
SPOLER.EXE
SPOOLCV.EXE
SPOOLSV32.EXE
SPYXX.EXE
SREXE.EXE
SRNG.EXE
SS3EDIT.EXE
SSG_4104.EXE
SSGRATE.EXE
ST2.EXE
START.EXE
STCLOADER.EXE
SUPFTRL.EXE
SUPPORT.EXE
SUPPORTER5.EXE
SVC.EXE
SVCHOSTC.EXE
SVCHOSTS.EXE
SVSHOST.EXE
SWEEP95.EXE
SWEEPNET.SWEEPSRV.SYS.SWNETSUP.EXE
SYMPROXYSVC.EXE
SYMTRAY.EXE
SYSEDIT.EXE
SYSTEM.EXE
SYSTEM32.EXE
SYSUPD.EXE
TASKMG.EXE
TASKMO.EXE
TASKMON.EXE
TAUMON.EXE
TBSCAN.EXE
TC.EXE
TCA.EXE
TCM.EXE
TDS2-98.EXE
TDS2-NT.EXE
TDS-3.EXE
TEEKIDS.EXE
TFAK.EXE
TFAK5.EXE
TGBOB.EXE
TITANIN.EXE
TITANINXP.EXE
TRACERT.EXE
TRICKLER.EXE
TRJSCAN.EXE
TRJSETUP.EXE
TROJANTRAP3.EXE
TSADBOT.EXE
TVMD.EXE
TVTMD.EXE
UNDOBOOT.EXE
UPDAT.EXE
UPDATE.EXE
UPGRAD.EXE
UTPOST.EXE
VBCMSERV.EXE
VBCONS.EXE
VBUST.EXE
VBWIN9X.EXE
VBWINNTW.EXE
VCSETUP.EXE
VET32.EXE
VET95.EXE
VETTRAY.EXE
VFSETUP.EXE
VIR-HELP.EXE
VIRUSMDPERSONALFIREWALL.EXE
VNLAN300.EXE
VNPC3000.EXE
VPC32.EXE
VPC42.EXE
VPFW30S.EXE
VPTRAY.EXE
VSCAN40.EXE
VSCENU6.02D30.EXE
VSCHED.EXE
VSECOMR.EXE
VSHWIN32.EXE
VSISETUP.EXE
VSMAIN.EXE
VSMON.EXE
VSSTAT.EXE
VSWIN9XE.EXE
VSWINNTSE.EXE
VSWINPERSE.EXE
W32DSM89.EXE
W9X.EXE
WATCHDOG.EXE
WEBDAV.EXE
WEBSCANX.EXE
WEBTRAP.EXE
WFINDV32.EXE
WGFE95.EXE
WHOSWATCHINGME.EXE
WIMMUN32.EXE
WIN32.EXE
WIN32US.EXE
WINACTIVE.EXE
WIN-BUGSFIX.EXE
WINDOW.EXE
WINDOWS.EXE
WININETD.EXE
WININIT.EXE
WININITX.EXE
WINLOGIN.EXE
WINMAIN.EXE
WINNET.EXE
WINPPR32.EXE
WINRECON.EXE
WINSERVN.EXE
WINSSK32.EXE
WINSTART.EXE
WINSTART001.EXE
WINTSK32.EXE
WINUPDATE.EXE
WKUFIND.EXE
WNAD.EXE
WNT.EXE
WRADMIN.EXE
WRCTRL.EXE
WSBGATE.EXE
WUPDATER.EXE
WUPDT.EXE
WYVERNWORKSFIREWALL.EXE
XPF202EN.EXE
ZAPRO.EXE
ZAPSETUP3001.EXE
ZATUTOR.EXE
ZONALM2601.EXE
ZONEALARM.EXE
Отключает доступ к сайтам антивирусов, перенаправляя их доменные имена на адрес локальной машины (127.0.0.1) в файле %system%\drivers\etc\hosts (Windows NT-Vista) или %windows%\hosts. Блокирует следующие сайты:
avp.com
ca.com
customer.symantec.com
dispatch.mcafee.com
download.mcafee.com
f-secure.com
kaspersky.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
mast.mcafee.com
mcafee.com
my-etrust.com
nai.com
networkassociates.com
rads.mcafee.com
secure.nai.com
securityresponse.symantec.com
sophos.com
symantec.com
trendmicro.com
update.symantec.com
updates.symantec.com
us.mcafee.com
viruslist.com
www.avp.com
www.ca.com
www.f-secure.com
www.kaspersky.com
www.mcafee.com
www.my-etrust.com
www.nai.com
www.networkassociates.com
www.sophos.com
www.trendmicro.com
www.viruslist.com
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Распространяется, используя критические уязвимости Windows к удаленному выполнению кода (RPC-DCOM: MS03-026, RPC Locator: MS03-001, IIS5/WEBDAV: MS03-007). Также копирует себя в совместно используемые сетевые ресурсы произвольных компьютеров в интернете; при наличии парольной защиты использует словарь для подбора.
Подключается к IRC-серверу, обеспечивая атакующему контроль над системой. Крадёт ключи к компакт-дискам известных игр.
Отключает доступ к антивирусным сайтам, перенаправляя их доменные имена на локальный компьютер через файл hosts.
Источник: TrendMicro.com
lastmylove
23.08.2007, 07:35
W32/VBLame-D
При первом запуске копирует себя как:
\Terlalu indah.exe
\Documents and Settings\Administrator\Application Data\Kau dan aku.exe
\Documents and Settings\Administrator\Local Settings\Cinta membawamu kembali.exe
\Documents and Settings\Administrator\Local Settings\Application Data\Di balas dengan dusta.exe
\Documents and Settings\Administrator\My Documents\Tercipta untukmu.exe
\Documents and Settings\Administrator\My Documents\My Pictures\Cintailah cinta.exe
%User%\Application Data\Intrik cinta.exe
%User%\Documents\Kau pilih dia.exe
%User%\Documents\My Pictures\Ada apa dengan cinta.exe
%Startup%\Loadme.pif
%System%\Bitch.exe
%System%\Liar.exe
%System%\Svseehost.exe
Записывает в реестр ссылки на автозапуск Bitch.exe, Liar.exe и Svseehost.exe:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \BITCH=%System%\Bitch.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \LIAR=%System%\Liar.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \SVSEEHOST=%System%\Svseehost.exe
Отключает отображение скрытых файлов и директорий, а также отображение расширений файлов в Проводнике (Explorer):
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\Hidden = 2
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\HideFileExt = 1
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\ShowSuperHidden = 0
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Распространяется копированием себя на съёмные диски.
Ослабляет настройки безопасности системы.
Загружает из интернета и выполняет другой вредоносный код.
lastmylove
27.08.2007, 22:02
W32.Vispat.C@mm
При первом запуске создает следующие файлы:
%UserProfile%\Application Data\Microsoft\Address Book\[ИМЯ_ПОЛЬЗОВАТЕЛЯ].wab
%UserProfile%\Local Settings\Application Data\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Microsoft\Outlook Express\Folders.dbx
%UserProfile%\Local Settings\Application Data\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Microsoft\Outlook Express\Inbox.dbx
%UserProfile%\Local Settings\Application Data\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Microsoft\Outlook Express\Offline.dbx
%System%\officeparam.dll
%System%\scansvc\trust\documenti_personali.exe
%System%\windowslite.pbk
%SystemDrive%\documenti.zip
Обеспечивает себе автозагрузку при каждом старте системы, записываясь в соответствующий раздел реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"documenti_personali.exe" = "%System%\scansvc\trust\documenti_personali.exe"
Заменяет через реестр стартовую страницу Microsoft Internet Explorer:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "[http://]www.katasearch.com"
Добавляет в зону "Доверенных узлов" сайты:
[http://]foto-personali.name
[http://]katasearch.com
[http://]tuttoavolonta.com
Записывает их в реестре в раздел
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\ZoneMap\Domains
Через реестр ослабляет настройки безопасности "Доверенной зоны" Microsoft Internet Explorer:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"MinLevel" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"RecommendedLevel" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1001" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1004" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1200" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1201" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1400" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1402" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1405" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1406" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1407" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1609" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1800" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\2\"1803" = "0"
Отключает через реестр отображение скрытых файлов и директорий
HKEY_CURRENT_USER\software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "0"
HKEY_CURRENT_USER\software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
HKEY_CURRENT_USER\software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"SuperHidden" = "0"
Создает в реестре подключ, который заставляет Internet Explorer запускаться и открывать сайт [http://]foto-personali.name при открытии директории Immagini.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{16C7013 F-912E-42ac-AA8E-A10A180DFF51}
Червь может создавать один или несколько файлов-ярлыков, ведущих к сайтам, которые прописаны в "Доверенной зоне":
%UserProfile%\Desktop\Foto Personali.lnk
%UserProfile%\Desktop\Microsoft IE Link.lnk
%UserProfile%\Start Menu\Foto Personali.lnk
Создает через реестр новую почтовую учетную запись в Outlook Express:
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\"SpellDontIgnoreDBCS" = "1"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\"MSIMN" = "1"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\"StoreMigratedV5" = "1"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\"ConvertedToDBX" = "1"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\"Settings Upgraded" = "7"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\"Running" = "1"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\"Store Root" = "%UserProfile%\Local Settings\Application Data\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Microsoft\Outlook Express\"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\Mail\"Welcome Message" = "0"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\Mail\"Accounts Checked" = "00 00 00 00"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\Mail\"Safe Attachments" = "1"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\Mail\"Secure Safe Attachments" = "1"
HKEY_CURRENT_USER\Identities\{43AECEA6-69DE-474B-AC86-21D837FC310A}\Software\Microsoft\Outlook Express\5.0\News\"Accounts Checked" = "00 00 00 00"
HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\"ConnectionSettingsMigrated" = "1"
HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4\Wab File Name\"(Default)" = "%UserProfile%\Application Data\Microsoft\Address Book\[ИМЯ_ПОЛЬЗОВАТЕЛЯ].wab"
HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4\"OlkContactRefresh" = "0"
HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4\"OlkFolderRefresh" = "0"
Сканирует Адресную книгу Windows (Windows Address Book) и письма в Outlook Express, собирая адреса электронной почты.
Рассылает себя по собранным адресам, отправляя письмо с темой "Guarda che stai rompendo !".
Текст сообщения:
Non capisco perch
continui a mandarmi certe cose
controlla il contenuto della fattura in allegato e se non ti dovessere essere troppo chiaro ti consiglio vivamente di scaricare l'intera documentazione che ti riguarda sul sito di amministrazione.
spero che non si ripetano errori come questo
saluti
Сообщение содержит ссылку на сайт [http://]www.sicure-mail.com/download/lista_doc[УДАЛЕНО] и вложение documenti.zip.
Псевдонимы: W32/Domamo@mm (McAfee), Email-Worm.Win32.Brizol.a (Kaspersky), Email-Worm.Win32.Brizol.a (F-Secure).
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows.
Распространяется рассылкой своих копий по адресам электронной почты, найденным на захваченном компьютере.
Заменяет стартовую страницу Microsoft Internet Explorer.
Ослабляет настройки безопасности Microsoft Internet Explorer.
Источник: Symantec.com
lastmylove
29.08.2007, 19:13
W32.Spybot.ATZN
При первом запуске копирует себя как %Windir%\system\svchost32.exe.
Создает мутекс Aj8USjso для обеспечения однократного присутствия своей копии в памяти.
Регистрирует svchost32.exe как сервис:
Имя сервиса: SvcHost32
Отображаемое имя: Windows Network Services
Тип запуска: Автоматический
Для сервиса в реестре создается подключ
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Shell Extensions\"windowsless" = "[ПУТЬ_К_ЧЕРВЮ]"
Отключает через реестр сервисы DCOM, LSA и отключает XP SP2:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\"EnableDCOM" = "N"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Lsa\"restrictanonymous" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\WindowsUpdate\"DoNotAllowXPSP2" = "1"
Ослабляет через реестр настройки безопасности системы:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dowsFirewall\StandardProfile\"EnableFirewall" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dowsFirewall\DomainProfile\"EnableFirewall" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"AntivirusDisableNotify" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"AntiVirusOverride" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"FirewallDisableNotify" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\"FirewallOverride" = "1"
Отключает через реестр автозапуск определенных сервисов:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"Start" = "4"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\RemoteRegistry\"Start" = "4"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\TlntSvr\"Start" = "4"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\wscsvc\"Start" = "4"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\lanmanserver\parameters\"AutoShareServer" = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\lanmanserver\parameters\"AutoShareWks" = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\lanmanworkstation\parameters\"AutoShareServer" = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\lanmanworkstation\parameters\"AutoShareWks" = "0"
Подключается к IRC-серверу te.arrancar.org:22777.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется, используя критические уязвимости в Windows к удаленному выполнению произвольного кода, не требующие участия пользователя: DCOM-RPC (MS03-026), PnP (MS05-039) и ASN.1 (MS04-007), а также в продукте Trend Micro ServerProtect, обнаруженную 23 августа 2007 г., переполнение буфера в Mercury Mail Transport System AUTH CRAM-MD5.
Также распространяется копированием себя на удаленные сетевые совместно используемые директории, подбирает пароли к защищенным ресурсам.
Открывает на компьютере "черный ход", подключаясь к IRC-серверу, предоставляя атакующему следующие возможности:
Копирование и удаление файлов
Загрузка файла
Отображение состояния
Отображение IP-адреса
Сканирование портов в сети
Запуск ftpd
Завершение процессов
Получение списка процессов
Источник: Symantec.com
lastmylove
29.08.2007, 19:18
Trojan.Ascesso
При первом запуске пытается загрузить свои драйверы в память ядра (Kernel). Для этого просматривает список системных сервисов в подключе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es на предмет сервисов, работающих в режиме ядра и имеющих тип запуска "автоматический" (например, Beep.sys).
Если подходящий сервис найден, троян делает его резервную копию в памяти, перезаписывает файл на диске своим драйвером (*.sys) длиной в 63 КБ и перезапускает сервис для того, чтобы загрузился драйвер трояна. Затем троян восстанавливает старый файл.
В случае успешной загрузки троянского драйвера создается файл
%System%\drivers\asc3550[СЛУЧАЙНАЯ_БУКВА].sys
(Примечание: asc3550 и asc3550p - легитимные драйвера, относящиеся к Windows)
Для драйвера создаются следующие записи в реестре:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\asc3550[СЛУЧАЙНАЯ_БУКВА]\"ErrorControl" = "0x0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\asc3550[СЛУЧАЙНАЯ_БУКВА]\"Start" = "0x2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\asc3550[СЛУЧАЙНАЯ_БУКВА]\"Tag" = "0x55"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\asc3550[СЛУЧАЙНАЯ_БУКВА]\"Type" = "0x1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\asc3550[СЛУЧАЙНАЯ_БУКВА]\"Group" = "SCSI miniport"
Для сокрытия себя в системе использует следующие технологии руткитов:
Перехватывает функцию "iofCallDriver" в kernel
Модифицирует TCPIP.SYS и WANARP.SYS для обхода брандмауэров
Использует функцию "CmRegisterCallback" для регистрации функции, скрывающей его ключи в реестре
Когда троян активен, файл драйвера %System%\drivers\asc3550[СЛУЧАЙНАЯ_БУКВА].sys удаляется и временно копируется в %Windir%\smsys.dat.
Для восстановления драйвера после перезагрузки системы использует механизм Windows отложенного переименования/перемещения файлов. Записывает в реестр:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Session Manager\"PendingFileRenameOperations" = "%SystemRoot%smsys.dat %SystemRoot%System32\drivers\asc3550[СЛУЧАЙНАЯ_БУКВА].sys"
Может также создавать подключи реестра:
HKEY_LOCAL_MACHINE\Microsoft\Windows\CurrentVersio n\WinSetup
HKEY_LOCAL_MACHINE\Microsoft\Windows\CurrentVersio n\WinOpts
"Полезная нагрузка" трояна - код, выполняющий действия, указанные атакующим, внедряется в память процесса SERVICES.EXE, а именно:
Загрузить и выполнить файл, сохранив его в %System%\[СЛУЧАЙНЫЕ_ЦИФРЫ]ld.exe
Получить настройки и инструкции с удаленного сервера
Загрузить свое обновление
Разослать спам и попытаться подключиться к SMTP-серверам mindspring.com, microsoft.com, yahoo.com, a.mx.mail.yahoo.com, maila.microsoft.com.
Несколько раз послать пакет следующего содержания по UDP:1900:
mailin-01.mx.aol.com
M-SEARCH * HTTP/1.1
HOST: 239.255.255.250:1900
ST: [VALUE]
MAN: ssdp:discover
MX: 3
[VALUE] - одно из следующих значений:
"urn:schemas-upnp-org:device:InternetGatewayDevice:1"
"urn:schemas-upnp-org:device:WANIPConnection:1"
"urn:schemas-upnp-org:device:WANPPPConnection:1"
Может загрузить удаленный файл и скопировать его в директорию общего доступа P2P-сетей Kazaa, iMesh или Morpheus под одним из имен:
BeboTV_setup.exe
Myspace_setup.exe
Myspace_searcher.exe
Myspace_people.exe
MSDN_loader.exe
Opera_install.exe
IE7.exe
WinXP SP2 crack.exe
PGP serial code.exe
Opera_9.10_International_Setup.exe
Windows Vista keygen.exe
World cup viewer.exe
metacafe_submit.exe
metacafe_play_video.exe
Metacafe4Windows.exe
radioblog_join.exe
Wikipedia_setup.exe
Пытается загружать файлы со следующих URL:
[http://]208.72.168.164
[http://]208.66.194.7:8080/404[???]
[http://]208.66.194.7:8080/405[???]
[http://]www.gamers-basement.be/tmp/18.[???]
[http://]208.66.194.7/sp_m3_v1[???]
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Использует технологию руткитов для сокрытия себя в системе, внедряется в процесс services.exe. Загружает из интернета дополнительный вредоносный код.
Источник: Symantec.com
lastmylove
30.08.2007, 16:17
Troj/VidCach-B
Некоторые компоненты трояна регистрируются как COM-объекты; в реестре для них создаются следующие разделы:
HKCR\CLSID\{150EA8E7-A97C-4816-AD02-4865EEF8C5FF}
HKCR\CLSID\{BABA5BDB-4EFF-48DB-B443-679651D37128}
HKCR\Interface\{B6A3935F-8FE4-49A4-B987-A1C09E53589F}
HKCR\Interface\{EF94A58F-599B-4602-9C34-99683C5859B1}
HKCR\TypeLib\{CDC0999C-999C-4EE1-875B-5C3542641768}
Некоторые элементы реестра, относящиеся к компонентам трояна, называются "NewMediaCodec" или "_DNewMediaCodec". Также трояном создаются следующие разделы:
HKCR\VAC.Video
HKLM\SOFTWARE\Microsoft\VideoPlugin
Псевдонимы:
not-a-virus:AdWare.Win32.Agent.el
Trojan.Win32.Agent.aqj
AdClicker-FC trojan
TrojanDownloader:Win32/Zlob.gen!M
TrojanDownloader:Win32/Zlob.gen!K
Trojan:Win32/Agent.gen!L
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Поступает на компьютер при помощи других вредоносных программ. Устанавливается как Вспомогательный объект браузера Microsoft Internet Explorer, получая контроль над происходящими в нем событиями.
lastmylove
30.08.2007, 16:18
Troj/Bckdr-QJL
При запуске троян регистрирует себя как системный сервис "DomainService" с таким же отображаемым именем и автоматическим типом запуска. Для сервиса создается следующий раздел реестра:
HKLM\SYSTEM\CurrentControlSet\Services\DomainServi ce
Отключает через реестр проверку целостности системных файлов:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
SFCDisable = 4
Создает в реестре раздел HKLM\SOFTWARE\Microsoft\DomainService для собственных нужд.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Найти и остановить сервис.
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Устанавливает на компьютере "черный ход", предоставляя атакующему доступ к системе, в частности, может загружать через HTTP и выполнять другой вредоносный код.
lastmylove
30.08.2007, 16:19
MSNFunny.B
Действия червя:
Загружает на компьютер следующие модули:
Модуль дозвона на платные номера Dialer.KOS
Модуль Cookie/Atlas.DMT, ворующий куки и отправляющий их атакующему
Модуль Trj/Sfc.A.mod, отключающий защиту системных файлов Windows
Отключает доступ к Редактору реестра, Диспетчеру задач.
Отключает Центр безопасности Windows (Windows Security Center) - брандмауэр, автообновления системы и антивирус, а также установку Windows XP SP2.
Отключает защиту системных файлов Windows (Windows File Protection, WFP).
Все вышеперечисленные действия производятся посредством модификации реестра:
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableRegistryTools = 01, 00, 00, 00
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableTaskMgr = 01, 00, 00, 00
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \ SFCScan = 00, 00, 00, 00
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Security Center Updates \ DisableNotify = 00000001
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Security Center \ AntiVirusDisableNotify = 00000001
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Security Center \ FirewallDisableNotify = 00000001
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Security Center \ AntiVirusOverride = 00000001
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Security Center \ FirewallOverride = 00000001
HKEY_LOCAL_MACHINE\ SOFTWARE\ Policies\ Microsoft\ WindowsFirewall\ DomainProfile \ EnableFirewall = 00000000
HKEY_LOCAL_MACHINE\ SOFTWARE\ Policies\ Microsoft\ WindowsFirewall\ StandardProfile \ EnableFirewall = 00000000
HKEY_LOCAL_MACHINE\ SOFTWARE\ Policies\ Microsoft\ Windows\ WindowsUpdate \ DoNotAllowXPSP2 = 00000001
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ WindowsUpdate\ Auto Update \ AUOptions = 00000001
Заменяет HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \ SFCDisable = 00, 00, 00, 00 на HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \ SFCDisable = 9D, FF, FF, FF.
Включает Удаленный реестр (Remote Registry) для обеспечения удаленного доступа атакующего к реестру и Telnet - терминал для обеспечения удаленного доступа к командной консоли.
Отключает скрытые совместно используемые сетевые ресурсы, создаваемые Windows для разделов локального диска.
Стратегия внедрения:
При запуске создает файл CHCP.EXE в директории Windows. Там же создаются архивированные копии червя F0538_JPG.ZIP и G038_JPG.ZIP, которые впоследствии рассылаются через MSN Messenger.
Модифицирует библиотеку SFC_OS.DLL для отключения защиты целостности системных файлов.
Удаляет утилиты FTP - TFTP.EXE и FTP.EXE - из системной директории Windows и из директории DLLCACHE во избежание их восстановления.
Обеспечивает себе через реестр автозагрузку при каждом старте Windows:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ chcp.exe = %windir%\chcp.exe
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \ Shell = Explorer.exe chcp.exe
Удаляет из списка автозапуска в реестре (HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run) все записи, принадлежащие другим вредоносным программам:
i11r54n4.exe
Bagle.X
rate.exe
winsys.exe
Bagle.k
irun4.exe
Bagle.j
bbeagle.exe
Bagle.a
d3dupdate.exe
teekids.exe
W32.Blaster.C
Penis32.exe
W32.Blaster.B
MSBLAST.exe
W32.Blaster
Bagle.v
Netsky.r
Mydoom.h
mscvb32.exe
ssate.exe
Sobig.c
Распространение
Червь распространяется, рассылая свои копии во вложениях к сообщениям MSN Messenger. Сообщение выбирается из наборов, составленных для 9 языков:
Испанский
el lol mi hermana quisiera que le enviara este
lbum de foto
vengo de fi este foto
Hey i que hace el
lbum de foto! Si vea el loL del em
El tipo, me acepta por favor su solamente
lbum de foto: (!
Английский
looooook :p
loooooooooooool :D
lol he looks weird on this photo
omg check this out man this is funny
lol you got to see this
Французский
eeeh c mes tof :p
c seulement mes tof de derniers vacances
tu dois voire les tof de notre bande
comment est-ce que je regarde sur cette photo ?
le lol ceci est dr
ma soeur a voulu que tu regarde ca
faut de la reproduction sonore avez-vous vu ceci ?
Немецкий
lol meine Schwester w
nscht mich Ihnen dieses Fotoalbum schicken
Geck, nehmen bitte sein nur mich Fotoalbum an: (!
chten mein neues Fotoalbum sehen?
Итальянский
avete ottenuto vedere questo relativo cos
divertente
come lo pensate osservi qui
sguardo di lol a questo
controllo di distorsione di velocit
questo fuori
Португальский
estes s
o realmente agrad
veis :P
wow voc
viu este?
como voc
gosta de me nesta foto
ou ver este seu assim engra
Голландский
hoe vind je dit er uit zien ?
hoe vind je dit ?
echt erg kijk dan
zo hee moet je dit zien echt niet normaal
zo moet je me hier op zien lol
lol he hoe vind je me hier op
Шведский
r egentligen trevliga: P
gyckel m
ste se dig detta fotografera
du fick se detta dess galet :p
Турецкий
Bu resimler nasil sence bir bakarmisin :)
su komik resimlerime baksana :D
bak :P
Kiz kardesim bunlari sana yollamami s
yledi ;)
bu resimler space i
in nasil
Space ime bun resimleri eklesem sence nasil olur
Вложение содержит одно из двух файлов: F0538_JPG.ZIP или G038_JPG.ZIP.
Сообщения рассылаются по списку контактов, активных на момент рассылки.
Техническое название: W32/MSNFunny.B.worm.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется, рассылая себя через MSN Messenger.
Загружает и запускает на компьютере другой вредоносный код:
Модуль набора платных телефонных номеров Dialer.KOS
Модуль сбора и отсылки куки, Cookie/Atlas.DMT
Модуль отключения защиты системных файлов Windows
Ослабляет настройки безопасности Windows, в частности, отключает "Центр безопасности Windows" (Windows Security Center).
Источник: PandaSecurity.com
lastmylove
31.08.2007, 17:01
W32/SillyFDC-AT
Распространяется копированием себя в корень всех дисков под именем autorun.exe вместе со скрытым файлом автозапуска autorun.inf. Таким образом червь запускается при подключении диска к системе.
При первом запуске червь копирует свои компоненты:
%Windows%\java\classes\java.dll
%System%\kernel32.sys
%System%\mfc48.dll
Обеспечивает через реестр автозапуск файлу kernel32.sys:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
AppInit_DLLs=kernel32.sys
Также устанавливает себя как Вспомогательный объект браузера (BHO, Browser Helper Object).
Записывает в реестр следующие значения
HKCR\CLSID\{Random CLSID}\InprocServer32
%Windows%\java\classes\java.dll
HKCR\CLSID\\InprocServer32
%Windows%\java\classes\java.dll
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\
Browser Helper Objects\
Псевдонимы: Worm.Win32.Agent.o, W32/USBAgent.dll, WORM_AGENT.LOL.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Многокомпонентный червь-spyware для платформы Windows. Распространяется копированием себя на сетевые и съемные диски. Отправляет атакующему конфиденциальную информацию. Отключает антивирусные приложения.
lastmylove
05.09.2007, 23:05
W32/Sohana-AJ
При запуске копирует себя как %System%\nod.exe.
Записывает ссылку на себя в разделы реестра, обеспечивающие автозагрузку червя при каждом запуске Windows:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Services
ActiveScript32
%System%\nod.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ActiveScript32
%System%\nod.exe
Также записывает себя в следующие разделы реестра:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa
ActiveScript32
%System%\nod.exe
HKLM\SOFTWARE\Microsoft\Ole
ActiveScript32
%System%\nod.exe
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на совместно используемые сетевые ресурсы. Загружает из интернета дополнительный вредоносный код.
lastmylove
05.09.2007, 23:06
Worm/Rindu.D
При первом запуске создает директорию C:\MSOCache\dlcache и копирует себя как:
%SYSDIR%\logonui.scr
%SYSDIR%\MyComp.scr
%SYSDIR%\userinit.exe
%SYSDIR%\sndvol32.exe
%SYSDIR%\calc.exe
%SYSDIR%\notepad.exe
%SYSDIR%\mspaint.exe
C:\MSOCache\dlcache\Lagu.scr
C:\MSOCache\dlcache\Gambar.scr
C:\MSOCache\dlcache\Film.scr
C:\MSOCache\dlcache\Dokumen Penting.scr
%PROGRAM FILES%\outlook express.scr
%PROGRAM FILES%\winamp.scr
%PROGRAM FILES%\Windows Media Player.scr
%PROGRAM FILES%\Windows NT\dialer.exe
%PROGRAM FILES%\Internet Explorer\IEXPLORE.EXE
Записывает себя в файлы:
%SYSDIR%\dllcache\userinit.exe
%SYSDIR%\dllcache\sndvol32.exe
%SYSDIR%\dllcache\calc.exe
%SYSDIR%\dllcache\notepad.exe
%SYSDIR%\dllcache\mspaint.exe
%SYSDIR%\dllcache\iexplore.exe
Перезаписывает собой все файлы *.exe в директории %Program Files%.
Создает файл %WINDIR%\media\suara.mp3.
Отключает через реестр отображение скрытых файлов в Проводнике, отображение расширений файлов, обеспечивает себе автозагрузку, модифицирует другие настройки.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\Folder\Hidden\SHOWALL
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\Folder\SuperHidden
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\Folder\ShowFullPathAddress
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\Folder\HideFileExt
HKCU\Software\Policies\Microsoft\Windows\System\"DisableCMD" = dword:00000001
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\CabinetState\"FullPathAddress" = dword:00000001
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "Explorer.exe, MyComp.exe"
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\"DisableTaskMgr" = "1"
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System\"DisableRegistryTools" = dword:00000001
HKLM\SOFTWARE\Classes\scrfile\@="File Folder"\"NeverShowExt" = dword:00000001
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\Explorer\"NoFolderOptions" = dword:00000001
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\Explorer\"NoFind" = dword:00000001
HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\Explorer\"NoRun" = dword:00000001
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\"ShowSuperHidden" = dword:00000000
HKCU\Software\Microsoft\Windows\CurrentVersion\Exp lorer\Advanced\"HideFileExt"=dword:00000001
Ищет в сети компьютеры с совместно используемыми ресурсами и копирует себя туда под именами Lagu.scr, Gambar.scr, Film.scr, Dokumen Penting.scr.
Ресурсы, на которые копируется червь:
IPC$\
Data.C$\
Data.D$\
Data.E$\
Data.F$\
Data.G$\
Data.H$\
imorxr$\
Открывает те же ресурсы на захваченном компьютере.
Завершает процессы, в окнах которых содержатся следующие подстроки:
ANTI; TROJAN; SUPPORT; MASTER; WORM; VIRUS; HACK; CRACK; LINUX; AVG; GRISOFT; CILLIN; SECURITY; LOCK; ASSOCIAT; SETUP; VAKSIN; UPDATE; TEST; XXX; HIDDEN; DEMO; SYSTEM32; AFEE; NORTON; RONTOK; PCMAV; W32; BLACK; MACRO; deulledo; TREND; SPERSKY; REGISTRY; COMMAND; KILL; NORMAN; FILM; PORNO; SVQj; PROCEXPL
Псевдонимы: W32/Rindu.d (McAfee), W32/Rindu.F.drp (Panda)
Написан на Delphi, упакован UPX.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на совместно используемые сетевые диски.
Ослабляет настройки безопасности системы.
Источник: Avira.com
lastmylove
05.09.2007, 23:07
Adware.MediaAdVantage
Приложение обычно поступает в комплекте с различными бесплатными программами и устанавливается из их инсталлятора параллельно с основной программой.
При установке создает директорию %ProgramFiles%\AdVantage и следующие файлы:
%ProgramFiles%\AdVantage\AdVantage.exe
%ProgramFiles%\AdVantage\AdVantage.cch
%ProgramFiles%\AdVantage\AdVantage.db
%ProgramFiles%\AdVantage\AdVantage.htm
%ProgramFiles%\AdVantage\AdVUninst.exe
%ProgramFiles%\AdVantage\ffext.mod
%ProgramFiles%\AdVantage\TR.dll
%ProgramFiles%\AdVantage\user.db
Создает следующие подключи реестра:
HKEY_ALL_USERS\Software\AdVantage
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Run\AdVantage
HKEY_CLASSES_ROOT\AppID\TR.DLL
HKEY_CLASSES_ROOT\AppID\{69E0089F-28BC-4BB5-862B-E2B07C3B83C6}
HKEY_CLASSES_ROOT\CLSID\{602D9049-B4AC-4A25-BF75-A9B54D747CBA}
HKEY_CLASSES_ROOT\Interface\{5AC3A9EF-C0F8-41D4-B4E2-B7CEBB794151}
HKEY_CLASSES_ROOT\Interface\{862DEF42-89AA-49FA-AE1F-8A84B1B08A17}
HKEY_CLASSES_ROOT\Interface\{F6E4845D-1D13-4BC0-942D-B9191524CC48}
HKEY_CLASSES_ROOT\MEAD.1
HKEY_CLASSES_ROOT\TR.TRFactory
HKEY_CLASSES_ROOT\TR.TRFactory.1
HKEY_CLASSES_ROOT\TypeLib\{DABF362D-D442-4402-9208-CA9ED70DD01E}
Отслеживает содержимое окон Microsoft Internet Explorer и отображает сайты в зависимости от контекста контента в окнах.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Программа-adware, просматривающая содержимое окон Microsoft Internet Explorer, и отображающая контекстную рекламу.
Источник: Symantec.com
lastmylove
06.09.2007, 16:44
Trojan.Patchep
При запуске копирует себя в системную директорию Windows (%system%) под именем из 8 случайных символов с расширением "exe".
Заражает все исполняемые файлы, перечисленные в реестре в списке автозагрузки приложений (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Run). Файлы заражаются корректно и могут быть излечены. Symantec определяет их как Trojan.Patchep!inf.
Внедряется во все процессы, кроме zlclient.exe.
Пытается загрузить дополнительный вредоносный код с URL http://194.126.193.157/brows??? и http://194.126.193.158/brows???.
Создает в Планировщике задач файлы-задания для запуска себя: At[число].job.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троян для платформы Windows. Загружает из интернета и выполняет дополнительный вредоносный код.
Содержит элементы вируса: для обеспечения автозагрузки при каждом запуске системы заражает исполняемые файлы, перечисленные в реестре в списке автозапуска приложений.
Источник: Symantec.com
lastmylove
19.09.2007, 17:24
W32.Googbot@mm
При первом запуске копирует себя как %System%\sysboot32.exe (%System% - системная директория Windows).
Записывает ссылку на себя в раздел реестра, обеспечивающий автозагрузку приложений при каждом запуске Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"System Boot Loader" = "%System%\sysboot32.exe"
Модифицирует файл %System%\drivers\etc\hosts, устанавливая соответствие ряда доменных имен локальному IP-адресу (127.0.0.1). Таким образом отключает доступ к этим сайтам:
127.0.0.1 www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 kaspersky-labs.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 pandasoftware.com
127.0.0.1 www.pandasoftware.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.grisoft.com
127.0.0.1 www.microsoft.com
127.0.0.1 microsoft.com
127.0.0.1 update.microsoft.com
127.0.0.1 www.virustotal.com
127.0.0.1 virustotal.com
127.0.0.1 www.ahnlab.com
127.0.0.1 suc.ahnlab.com
127.0.0.1 auth.ahnlab.com
127.0.0.1 ahnlab.com
Подключается к удаленному центру управления io.phatnet.biz:7001 для получения команд от атакующего. Атакующий может выполнять следующие команды на уязвимом компьютере:
mailstop
mailstart
threadkillall
threadkill
threadlist
scanstats
scanstop
scanstartall
scanstart
synstop
synstart
update
download
delete
exec
open
uninstall
die
reconnect
netinfo
sysinfo
uptime
lsass
asn
Может распространяться, используя уязвимости в сервисе Windows LSASS (MS04-011) и TrendMicro ServerProtect, позволяющие внедрить код на компьютер без участия и ведома пользователя.
Ищет на диске адреса электронной почты в файлах со следующими расширениями:
.wab
.adb
.tbb
.dbx
.asp
.php
.sht
.htm
.txt
Также собирает адреса из Microsoft Windows Address Book.
Для рассылки почты находит SMTP-сервер, используемый пользователем. Ищет адрес сервера в реестре: HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts.
Рассылает письма со следующими характеристиками. Адрес отправителя (From:) составляется из списков случайным образом.
Имя:
John
Jack
Jim
Suzie
Sally
Jenny
Gina
Bill
Andrew
Andy
Bob
Ashlee
Tom
Mike
Michael
Brian
Sam
David
Kevin
Jerry
Anna
Linda
Steve
Mary
Helen
Debby
Julie
Joe
George
James
Matt
Dave
Фамилия:
Smith
Campbell
Wright
Stevens
Thompson
Johnson
Jones
White
Wilson
Davis
Miller
Clark
Phillips
Carter
Parker
Collins
Anderson
Jackson
Taylor
Edwards
Peterson
Allen
Thomas
Harris
Доменное имя:
aol.com
msn.com
yahoo.com
hotmail.com
gmail.com
Тема письма (Subject:) выбирается из списка:
Someone has sent you a Private Message!
You have just recieved a NEW message!
You have (1) NEW messages!
Тело письма:
You have just recieved a new Google Message!
You can view your message here: http://www.google.com/gmsgid=4289472
Note: If you do not already have Google Message Viewer installed, you will be prompted to install it.
Ссылка ведет на сервер, откуда загружается копия червя.
Псевдонимы: WORM_AGENT.AAWD (TrendMicro), W32 Duce.a@mm (McAfee), Backdoor.W32.GoogBot.A (Kaspersky).
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить ключ реестра, созданный вредоносной программой (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется посредством массовых рассылок своей копии по адресам электронной почты, обнаруженным на зараженном компьютере; также использует для распространения критические уязвимости в сервисе Windows LSASS (MS04-011) и TrendMicro ServerProtect, позволяющие внедрить код на компьютер без участия и ведома пользователя.
Открывает "черный ход", обеспечивая атакующему доступ к захваченному компьютеру.
Отключает доступ к обновлениям антивирусных приложений, модифицируя файл соответствия IP-адресов доменным именам (hosts).
Источник: Symantec.com
lastmylove
20.09.2007, 18:59
VBS.Runauto.C
При запуске копирует себя в файл
[email protected] в директории Windows и в корень системного диска, а также создает на системном диске файл автозапуска \autorun.inf.
Копирует себя на все съемные диски, кроме дискет, под тем же именем, и создает там же - в корне - файл autorun.inf, обеспечивающий червю автозагрузку при каждом подключении диска к системе.
Записывает ссылку на себя в реестр для обеспечения автозагрузки при каждом запуске Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Bit@UOM" = "C:\WINDOWS\
[email protected]"
Через реестр заменяет иконку по умолчанию для файлов .vbs и заменяет заголовок окна Microsoft Internet Explorer на англоязычный бранный текст:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\"DefaultIcon" = "shell32.dll,2"
HKEY_USERS\[ALL USERS]\Software\Microsoft\Internet Explorer\Main\"Window Title" = "Fuck You!! FUCK.... FUCK.... FUCK............."
Написан на языке сценариев Visual Basic Script.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все съемные диски, кроме дискет.
Заменяет заголовок окна Microsoft Internet Explorer на англоязычный бранный текст. Больше никак не проявляется.
Источник: Symantec.com
lastmylove
20.09.2007, 19:00
W32.Focelto.A
При запуске копирует себя в %System%\dllcache\sygate.exe. (%System% - системная директория Windows)
Создает в реестре запись, обеспечивающую автозагрузку при каждом старте Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{[СЛУЧАЙНЫЙ CLSID]}\"stubpath" = "%System%\dllcache\sygate.exe s"
Создает в реестре подключи
HKEY_LOCAL_MACHINE\Software\Sygate
HKEY_CURRENT_USER\Software\Sygate
Устанавливает руткит:
%System%\oddysee.exe - определяется Symantec как Hacktool.Rootkit
%System%\ntoskrnl.exe:kernel - определяется Symantec как Hacktool.Rootkit
(Файл :kernel - поток (Alternate Data Stream, ADS) в ntoskrnl.exe. Оригинальный ntoskrnl.exe не модифицируется червем)
Регистрирует сервис для руткита, создавая раздел HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic es\Oddysee.
Отображаемое имя - Oddysee, путь к образу - %System%\ntoskrnl.exe:kernel, Start: 3, Type: 1.
Руткит скрывает процессы, файлы и подключи реестра, относящиеся к червю, перехватывая системные функции ZwQuerySystemInformation, ZwEnumerateKey и ZwEnumerateValueKey.
Запускает процессы explorer.exe и iexplore.exe и встраивает в них код для обеспечения функционала руткита.
Для хранения информации создает следующие файлы:
%Userprofile%\rgst152.dat
%Userprofile%\Application Data\addon.dat
%System%\dllcache\klog.dat
Создает компоненты даунлоадера (определяются как W32.Focelto.A) на дисках от C: до Z:
\Foto_celular.scr
\Foto_celular.zip
Создает свою копию в %System%\backsys.sys.
Распространяется через интернет-пейджеры Microsoft, рассылая Foto_celular.scr по списку контактов.
Файл Foto_celular.scr пытается загрузить копию червя с URL:
[http://]naoadianta1.memebot.com/sexy???
[http://]naoadianta2.memebot.com/insta???
[http://]naoadianta3.memebot.com/movi???
Также соединяется через HTTP с сайтами naoadianta9.no-ip.org и naoadianta10.no-ip.org.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Найти и остановить сервис, созданный червём.
Действие
Червь для платформы Windows. Распространяется, рассылая себя по списку контактов в интернет-пейджерах Microsoft.
Открывает на компьютере "черный ход", загружает и выполняет дополнительный вредоносный код.
Использует руткит (определяется Symantec как Hacktool.Rootkit) для сокрытия себя в системе.
Источник: Symantec.com
lastmylove
21.09.2007, 21:51
Spyware.SpySure
При установке создает следующие файлы:
C:\Documents and Settings\All Users\Application Data\spysure\servircess.exe
C:\Documents and Settings\All Users\Application Data\spysure\servirsess.exe
C:\Documents and Settings\All Users\Application Data\spysure\setup.dat
C:\Documents and Settings\All Users\Application Data\spysure\spysure.zip
C:\Documents and Settings\All Users\Application Data\spysure\spysureinstallzip.exe
C:\Documents and Settings\All Users\Application Data\spysure\syservice.exe
C:\Documents and Settings\All Users\Application Data\spysure\test.bmp
C:\Documents and Settings\All Users\Application Data\spysure\testlog.txt
C:\Documents and Settings\All Users\Application Data\spysure\testlog2.txt
C:\Documents and Settings\All Users\Application Data\spysure\updater.exe
C:\Documents and Settings\All Users\Application Data\spysure\ashcd.dat
C:\Documents and Settings\All Users\Application Data\spysure\ashprot.sys
C:\Documents and Settings\All Users\Application Data\spysure\ashsetup.dat
C:\Documents and Settings\All Users\Application Data\spysure\DrvFltIp.sys
C:\Documents and Settings\All Users\Application Data\spysure\gmon.out
C:\Documents and Settings\All Users\Application Data\spysure\help.html
C:\Documents and Settings\All Users\Application Data\spysure\logo.gif
C:\Documents and Settings\All Users\Application Data\spysure\Project2.dll
C:\Documents and Settings\All Users\Application Data\spysure\readme.txt
%System%\ashprot.sys
%System%\DrvFltIp.sys
Создает директорию C:\Documents and Settings\All Users\Application Data\spysure\tempdir.
Создает директорию C:\Documents and Settings\All Users\Application Data\spysure\screenzip для хранения скриншотов.
Создает в реестре следующие подключи:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\DrvFltIp
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\IpFilterDriver\Enum
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\ashprot
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\spyservice
Создает в реестре запись, обеспечивающую автозагрузку при каждом запуске Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"ashcap" = "C:\Documents and Settings\All Users\Application Data\spysure\servirsess.exe"
Сохраняет ввод с клавиатуры, список посещенных веб-сайтов и скриншоты, может отправлять собранные данные атакующему по электронной почте.
Защита
Проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Шпионская программа для платформы Windows, собирающая и отправляющая атакующему следующую информацию: данные о нажатых клавишах, скриншоты экрана и список посещенных веб-сайтов.
Источник: Symantec.com
lastmylove
21.09.2007, 21:52
W32.Yalove.D
При первом запуске создает файлы
%Windir%\lsass.exe
%Windir%\system\lsass.exe
%SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\Startup\MSconfig.exe
В корне всех дисков создает файлы:
New Folder.exe
boot.exe
autorun.inf
Удаляет файлы:
%Windir%\regedit.exe
%SystemDrive%\WINDOWS\pchealth\helpctr\binaries\ms config.exe
%Windir%\system32\restore\rstrui.exe
%Windir%\system32\taskmgr.exe
%SystemDrive%\Program Files\Mozilla Firefox\firefox.exe
Записывает в реестр ссылку на свою копию, обеспечивая себе автозагрузку при каждом старте Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "userinit.exe,%Windir%\system\lsass.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "explorer.exe %Windir%\system\lsass.exe"
Записывает в реестр ссылки на сайт, содержащий копию червя. Сайт открывается в Internet Explorer.
HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_ buzz\"content url" = "[http://]eyejuice.net/???"
HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_ Launchcast\"content url" = "[http://]eyejuice.net/???"
Отключает через реестр восстановление системы и "Диспетчер задач", включает загрузку стартовой страницы в Internet Explorer:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableTaskMgr" = "1"
HKEY_CURRENT_USER\Software\Policies\Microsoft\Inte rnet Explorer\Control Panel\"Homepage" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT\SystemRestore\"DisableConfig" = "1"
Удаляет в реестре запись:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"BkavFw"
Обеспечивает себе автозагрузку в Безопасном режиме (Safe Mode):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\"AlternateShell" = "%Windir%\system\cmd.exe"
Изменяет в реестре стартовую страницу Internet Explorer:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "[http://]eyejuice.net/???"
Отключает отображение скрытых и системных файлов и директорий, пункт меню "Опции" в окне просмотра папок и командную строку.
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "2"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoFolderOptions" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoRun" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\"NoFolderOptions" = "1"
Отключает через файл hosts доступ к обновлениям антивирусных и защитных программ (сопоставляет имена сайтов IP-адресу 0.0.0.0).
#worm2007
0.0.0.0 free.grisoft.com
0.0.0.0 www.mcafee.com
0.0.0.0 mcafee.com
0.0.0.0 www.kaspersky.com
0.0.0.0 kaspersky.com
0.0.0.0 www.avast.com
0.0.0.0 avast.com
0.0.0.0 www.grisoft.com
0.0.0.0 grisoft.com
0.0.0.0 mcafee.com
0.0.0.0 www.antivirus.comodo.com
0.0.0.0 antivirus.comodo.com
0.0.0.0 www.ZoneAlarm.com
0.0.0.0 ZoneAlarm.com
0.0.0.0 lobal.ahnlab.com
0.0.0.0 www.esafe.com
0.0.0.0 esafe.com
0.0.0.0 www.bkav.com.vn
0.0.0.0 bkav.com.vn
0.0.0.0 quickheal.co.in
0.0.0.0 www.quickheal.co.in
0.0.0.0 www.f-secure.com
0.0.0.0 www.www.f-secure.com
0.0.0.0 www.hacksoft.com.pe
0.0.0.0 hacksoft.com.pe
0.0.0.0 www.pandasecurity.com
0.0.0.0 pandasecurity.com
0.0.0.0 www.pandasoftware.com
0.0.0.0 pandasoftware.com
0.0.0.0 www.bitdefender.com
0.0.0.0 bitdefender.com
0.0.0.0 www.sophos.com
0.0.0.0 sophos.com
0.0.0.0 www.symantec.com
0.0.0.0 symantec.com
0.0.0.0 anti-virus.by
0.0.0.0 www.anti-virus.by
0.0.0.0 www.norman.com
0.0.0.0 norman.com
0.0.0.0 f-prot.com
0.0.0.0 www.f-prot.com
0.0.0.0 www.eset.com
0.0.0.0 eset.com
0.0.0.0 windowsupdate.microsoft.com
0.0.0.0 download.microsoft.com
0.0.0.0 www.update.microsoft.com
0.0.0.0 update.microsoft.com
0.0.0.0 support.microsoft.com
0.0.0.0 v4.windowsupdate.microsoft.com
0.0.0.0 microsoft.com
0.0.0.0 sonhai.info
0.0.0.0 tuantrinh.info
0.0.0.0 nghenhac.name
0.0.0.0 yeuamnhac.com
0.0.0.0 nhacso.net
0.0.0.0 zing.vn
0.0.0.0 mp3.zing.vn
0.0.0.0 manhhai.vn
0.0.0.0 nghenhac.info
0.0.0.0 nhac.vui.vn
0.0.0.0 nhac.caigi.com
0.0.0.0 www.nhaccuatui.com
0.0.0.0 nhaccuatui.com
0.0.0.0 www.vietnhim.com
0.0.0.0 vietnhim.com
0.0.0.0 musicdanang.tv
0.0.0.0 sonic.vn
0.0.0.0 yeunhac.org
0.0.0.0 nhacvangonline.info
0.0.0.0 nhac.top1.vn
0.0.0.0 www.nghenhac9x.biz
0.0.0.0 nghenhac9x.biz
0.0.0.0 canhac.com
0.0.0.0 www.nghenhac9x.biz
0.0.0.0 amnhac.timnhanh.com
0.0.0.0 www.nghenhac.tv
0.0.0.0 www.mtvlove.com
0.0.0.0 vietmusic.net
0.0.0.0 vietgiaitri.com.vn
0.0.0.0 www.mtvpage.com
0.0.0.0 phuonghong.com
0.0.0.0 www.xem.com.vn
0.0.0.0 khucnhac.biz
0.0.0.0 www.vietboom.com
0.0.0.0 vietboom.com
0.0.0.0 www.music9x.org
0.0.0.0 www.khonhacso.com
0.0.0.0 bennhac.com
0.0.0.0 nhachot.info
0.0.0.0 bonghongxanh.vn
0.0.0.0 music.bonghongxanh.vn
0.0.0.0 www.nhacviet.com
0.0.0.0 nhacviet.com
0.0.0.0 nhacmienphi.com
0.0.0.0 yeucahat.com
0.0.0.0 hayso1.com
0.0.0.0 truongton.net
0.0.0.0 diendanlequydon.com
0.0.0.0 giaitrituoitre.net
0.0.0.0 hihihehe.com
0.0.0.0 hoangclub.vn
0.0.0.0 thehe8x.net
0.0.0.0 socvui.com
0.0.0.0 mtvhalong.com
Завершает следующие процессы:
firefox.exe
regedit.exe
taskmgr.exe
hijackthis.exe
Пытается загрузить обновление с URL [http://]eyejuice.net/YMwor???. В случае успеха заменяет файл %Windir%\system\svchost.exe загруженным.
Рассылает себя через список контактов в Yahoo! Messenger.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски и рассылкой через Yahoo! Messenger.
Открывает на компьютере "черный ход".
Удаляет "Редактор реестра", файл настройки Windows, "Диспетчер задач", утилиту восстановления системы и исполняемый файл браузера Firefox.
Источник: Symantec.com
lastmylove
25.09.2007, 17:57
Backdoor.Unpdoor
При запуске создает мутексы для исключения повторной загрузки в память:
__win32__ntss_sdm__
__win32__ntss_sm__
Копирует себя как %System%\ntss.exe.
Создает %Windir%\Temp\ntss_000.tmp, внедряет код, содержащийся в этом файле, в один из следующих процессов:
winlogon.exe
iexplore.exe
explorer.exe
Создает в реестре записи:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_NTSS
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\NTSS
Запускает сервис NTSS (отображаемое имя "Network Translation System Service").
Отключает брандмауэр Windows:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List\"\??\C:\WINDOWS\system32\winlogon.exe" = "\??\C:\WINDOWS\system32\winlogon.exewinlogon.exe:* :Enabled:NTSS"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List\"C:\WINDOWS\system32\ntss.exe"= "%System%\ntss.exe:*:Enabled:NTSS"
Открывает случайный порт.
Ищет маршрутизатор в локальной сети, получает IP-адрес WAN и открывает порт для "черного хода", используя протоколы UPnP. Таким образом, даже если уязвимый компьютер, находящийся в локальной сети, имеет локальный IP-адрес, "черный ход" работает.
Отправляет IP-адрес захваченного компьютера и номер порта на сайт dep.mvl0an6.com.
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Открывает случайный порт для приема входящих соединений атакующим, информирует атакующего о захвате компьютера, подключаясь к управляющему сайту. "Черный ход" работает даже в том случае, если компьютер имеет локальный IP-адрес (троян обеспечивает сопоставление портов через маршрутизатор).
Источник: Symantec.com
Вирус-червь, распространяющийся через сервис Skype. Рассылается по всем найденным на зараженном компьютере контактам Skype-клиента.
Является приложением Windows (PE EXE-файл). Имеет размер 188416 байт. Написан на С++.
Инсталляция
С целью замаскировать свой основной функционал червь при запуске открывает в программе для просмотра изображений следующий графический файл (если он существует на зараженном компьютере):
%WinDir%\Soap Bubbles.bmp
После запуска червь копирует свое тело в системный каталог Windows под следующими именами:
%System%\wndrivs.exe
%System%\mshtml32.exe
%System%\sdrives32.exe
%System%\winlgcver.exe
Для автоматического запуска при каждом последующем старте системы червь добавляет ссылку на эти файлы в ключи автозапуска системного реестра («%WormCopy%» — одна из вышеприведенных копий червя):
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run Once]
"Start Services" = "%WormCopy%"
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Windows Explorer" = "explorer.exe %WormCopy%"
"Logon Data" = "%WormCopy%"
[HKLM\Software\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run]
"Policies Settings" = ""
Также червь создает следующий ключ в системном реестре:
[HKLM\Software\RMX\cfg]
Деструктивная активность
Червь распространяется при помощи Skype-клиента. Используя специальный API-интерфейс для управления этой программой извне, червь отправляет всем адресатам из контакт-листа пользователя сообщения. В канале чата от имени инфицированной системы червь формирует сообщения, содержащие различные последовательности следующих строк:
hey
how are u ? :)
look
your photos looks realy nice
where I put ur photo :D
I used photoshop and edited it
look what crazy photo Tiffany sent to me...
haha lol
now u populr
really funny
you checked ?
oops sorry please don't look there :S
oh sry not for u
u happy ?
this (happy) sexy one
what ur friend name wich is in photo ?
labas
esi?
ziurek kur tavo foto imeciau :D
kaip as taves noriu
zek kur tavo foto metos isdergta
cia tu isimetei ?
cia biski su photoshopu pazaidziau bet...
kas cia tavim taip isderge ? =]]
patinka?
geras ane ?
matai :D
as net nezinau ka tavo vietoj daryciau...
:S
pala biski
В сообщениях указывается ссылка на исполняемый файл червя.
Приведем примерный ряд сообщений из чата программы Skype, которые формирует червь:
[17:59:05] User says: how are u ? :)
[17:59:22] User says: look what crazy photo Tiffany sent to me,looks cool
[17:59:26] User says: http://www%InfectedURL%.jpg
[17:59:37] User says: oops sorry please don't look there :S
[17:59:40] User says: :)
Для маскировки червь использует также ярлык стандартного файла изображения Windows.
При подключении к сети Интернет червь может загружать на компьютер файлы со следующих адресов:
http://www.****me.org/erotic-gallerys/usr5d8c/****.jpg (на момент создания описания ссылка не работала);
http://www.****space.net/erotic-gallerys/usr5d8c/****.scr (имеет размер 188416 байт, детектируется Антивирусом Касперского как Worm.Win32.Skipi.c).
Также червь распространяется при помощи копирования своего файла на подключаемые к зараженному компьютеру флэш-накопители. Червь копирует свое тело в корневой каталог таких носителей под следующими именами:
game.exe
zjbs.exe
При этом червь (также в корневом каталоге накопителя) создает файл «autorun.inf», включающий следующий код:
[autorun]
action=Windows Picture and Fax Viewer
open=zjbs.exe
icon=zjbs.exe
Это обеспечивает автоматический запуск червя при подключении флэш-накопителя к незараженному компьютеру (только в случае если автозапуск содержимого накопителя не отключен).
Червь изменяет следующий файл:
%System%\drivers\etc\hosts
За счет этого осуществляется перенаправление на случайные IP-адреса обращений системы к следующим доменам с базами обновлений сигнатур антивирусных программ:
avast.com
avp.com
ca.com
drweb.comeset.com
f-secure.com
symantec.com
pandasoftware.com
sophos.com
mcafee.com
kaspersky-labs.com
kaspersky.ru
symantecliveupdate.com
viruslist.com
networkassociates.com
norman.com
trendmicro.com
nai.com
grisoft.com
esaugumas.lt
virustotal.com
windowsupdate.microsoft.com
jotti.org
bkav.com.vn
bitdefender.com
barracudanetworks.com
free-av.com
nod32-es.com
my-etrust.com
Также червь завершает процессы, имена которых содержат следующие строки:
53ARCH
_AVP32
_AVPCC
_AVPM
ACKWIN32
ADAWARE
ADVXDWIN
AGENTSVR
AGENTW
ALERTSVC
ALEVIR
ALOGSERV
AMON9X
ANTI-TROJAN
ANTIVIRUS
APIMONITOR
APLICA32
APORTS
APVXDWIN
ARMKILLER
ATCON
ATGUARD
ATRO55EN
ATUPDATER
ATWATCH
AUPDATE
AUTODOWN
AUTOTRACE
AUTOUPDATE
AVCONSOL
AVE32
AVGCC32
AVGCTRL
AVGNT
AVGSERV
AVGSERV9
AVGUARD
AVKPOP
AVKSERV
AVKSERVICE
AVKWCTl9
AVLTMAIN
AVP32
AVPCC
AVPDOS32
AVPTC32
AVPUPD
AVSCHED32
AVSYNMGR
AVWIN95
AVWINNT
AVWUPD
AVWUPD32
AVWUPSRV
AVXMONITOR9X
AVXMONITORNT
AVXQUAR
BACKWEB
BARGAINS
BD_PROFESSIONAL
BEAGLE
BIDEF
BIDSERVER
BIPCP
BIPCPEVALSETUP
BLACKD
BLACKICE
BOOTCONF
BOOTWARN
BORG2
BRASIL
BS120
BUNDLE
CCAPP
CCEVTMGR
CCPXYSVC
CFGWIZ
CFIADMIN
CFIAUDIT
CFINET
CFINET32
Claw95
CLAW95CF
CLEAN
CLEANER
CLEANER3
CLEANPC
CLICK
CLIENT
CMD32
CMESYS
CMGRDIAN
CMON016
CONDOM
CPF9X206
CPFNT206
CRACKER
CWNB181
CWNTDWMO
DATEMANAGER
DCOMX
DEFALERT
DEFSCANGUI
DEFWATCH
DEPUTY
DLLCACHE
DLLREG
DOORS
DPFSETUP
DPPS2
DRWATSON
DRWEB32
DRWEBUPW
DSSAGENT
DVP95
DVP95_0
ECENGINE
EFPEADM
ESAFE
ESCANH95
ESCANHNT
ESCANV95
ESPWATCH
ETHEREAL
ETRUSTCIPE
EXE.AVXW
EXPERT
EXPLORE
F-AGNT95
F-AGOBOT
F-PROT
F-PROT95
F-STOPW
FAMEH32
FCH32
FIH32
FINDVIRU
FIREWALL
FLOWPROTECTOR
FNRB32
FP-WIN
FP-WIN_TRIAL
FPORT
FPROT
FRHED
FSAV32
FSAV530STBYB
FSAV530WTBYB
FSAV95
FSGK32
FSM32
FSMA32
FSMB32
GATOR
GBMENU
GBPOLL
GENERICS
GUARD
GUARDDOG
HACKTRACERSETUP
HBINST
HBSRV
HIJACKTHIS
HONEYD
HOTACTIO
HOTPATCH
HTLOG
HTPATCH
HXIUL
IAMAPP
IAMSERV
IAMSTATS
IBMASN
IBMAVSP
ICESWORD
ICLOAD95
ICLOADNT
ICMON
ICSUPP95
ICSUPPNT
IEDLL
IEDRIVER
IEXPLORER
IFACE
IFW2000
IISLOCKD
INETLNFO
INFUS
INFWIN
INTDEL
INTREN
IOMON98
IPARMOR
ISASS
ISRV95
ISTSVC
JAMMER
JDBGMRG
KAVLITE40ENG
KAVPERS40ENG
KAVPF
KAVSVC
KAZZA
KEENVALUE
KERNEL32
LAUNCHER
LDNETMON
LDPRO
LDPROMENU
LDSCAN
LNETINFO
LOADER
LOCALNET
LOCKDOWN
LOCKDOWN2000
LOGGER
LOGVIEWER
LOOKOUT
LORDPE
LSETUP
LUALL
LUCOMSERVER
LUINIT
LUSPT
MAPISVC32
MCAGENT
MCMNHDLR
MCSHIELD
MCTOOL
MCUPDATE
MCVSRTE
MCVSSHLD
MFIN32
MFW2EN
MFWENG3.02D30
MGAVRTCL
MGAVRTE
MGHTML
MINILOG
MONITOR
MOOLIVE
MOSTAT
MPFAGENT
MPFSERVICE
MPFTRAY
MRFLUX
MSAPP
MSBLAST
MSCACHE
MSCCN32
MSCMAN
MSCONFIG
MSDOS
MSIEXEC16
MSINFO32
MSLAUGH
MSMGT
MSMSGRI32
MSSMMC32
MSSYS
MSVXD
MU0311AD
MWATCH
N32SCANW
NAVAP.NAVAPSVC
NAVAPSVC
NAVAPW32
NAVDX
NAVLU32
NAVNT
NAVSTUB
NAVW32
NAVWNT
NC2000
NCINST4
NDD32
NEOMONITOR
NEOWATCHLOG
NETARMOR
NETD32
NETINFO
NETMON
NETSCANPRO
NETSTAT
NETUTILS
NISSERV
NISUM
NMAIN
NOD32
NOD32CC
NOD32KRN
NOD32KUI
NOD32M2
NORMIST
NOTSTART
NPFMESSENGER
NPROTECT
NPSCHECK
NPSSVC
NSCHED32
NSSYS32
NSTASK32
NSUPDATE
NTRTSCAN
NTVDM
NTXconfig
NUPGRADE
NVARCH16
NVC95
NVSVC32
NWINST4
NWSERVICE
NWTOOL16
OLLYDBG
ONSRVR
OPTIMIZE
OSTRONET
OTFIX
OUTPOST
OUTPOSTINSTALL
PADMIN
PANIXK
PATCH
PAVCL
PAVPROXY
PAVSCHED
PCC2002S902
PCC2K_76_1436
PCCIOMON
PCCNTMON
PCCWIN97
PCCWIN98
PCDSETUP
PCFWALLICON
PCIP10117_0
PCSCAN
PDSETUP
PEDASM
PENIS
PERISCOPE
PERSFW
PERSWF
pexplorer
PFWADMIN
PGMONITR
PINGSCAN
PLATIN
PMDUMP
POP3TRAP
POPROXY
POPSCAN
PORTDETECTIVE
PORTMONITOR
POWERSCAN
PPINUPDT
PPTBC
PPVSTOP
PRIZESURFER
PRMVR
PROCDUMP
PROCESSMONITOR
PROCEXP
PROGRAMAUDITOR
PROPORT
PROTECTX
PURGE
PUSSY
PVIEW95
QCONSOLE
QSERVER
RAPAPP
RAV7WIN
RAV8WIN32ENG
RCSYNC
REALMON
REGCLEANER
REGED
REGEDIT
REGEDT32
RERGCLEANR
RESCUE
RESCUE32
RRGUARD
RSHELL
RTVSCAN
RTVSCN95
RULAUNCH
RUN32DLL
RUNDLL
RUNDLL16
RUXDLL32
SAFEWEB
SAHAGENT
SAVENOW
SBSERV
SCAM32
SCAN32
SCAN95
SCANPM
SCRSCAN
SCRSVR
SCVHOST
SERV95
SERVICE
SERVLCE
SERVLCES
SETUPVAMEEVAL
SGSSFW32
SHELLSPYINSTALL
SHOWBEHIND
SMSS32
SPERM
SPHINX
SPOLER
SPOOLCV
SPOOLSV32
SPYXX
SREXE
SS3EDIT
SSG_4104
SSGRATE
START
STCLOADER
SUPFTRL
SUPPORT
SUPPORTER5
SVCHOSTC
SVCHOSTS
SVSHOST
SWEEP95
SYMPROXYSVC
SYMTRAY
SYSEDIT
SYSTEM
SYSTEM32
SYSUPD
TASKMG
TASKMO
TASKMON
TAUMON
TBSCAN
TCPVIEW
TDS-3
TDS2-98
TDS2-NT
TEEKIDS
TFAK5
TGBOB
TITANIN
TITANINXP
TRACERT
TRICKLER
TRJSCAN
TRJSETUP
TROJANTRAP3
TSADBOT
TVTMD
UNDOBOOT
UPDAT
UPDATE
UPGRAD
UTPOST
VBCMSERV
VBCONS
VBUST
VBWIN9X
VBWINNTW
VCSETUP
VET32
VET95
VETTRAY
VFSETUP
VIR-HELP
VNLAN300
VNPC3000
VPC32
VPC42
VPFW30S
VPTRAY
VSCAN40
VSCENU6.02D30
VSCHED
VSECOMR
VSHWIN32
VSISETUP
VSMAIN
VSMON
VSSTAT
VSWIN9XE
VSWINNTSE
VSWINPERSE
W32DSM89
WATCHDOG
WEBDAV
WEBSCANX
WEBTRAP
WFINDV32
WGFE95
WHOSWATCHINGME
WIMMUN32
WIN-BUGSFIX
WIN32
WIN32US
WINACTIVE
WINDBG
WINDOW
WINDOWS
WINDUMP
WININETD
WININIT
WININITX
WINLOGIN
WINMAIN
WINNET
WINPPR32
WINRECON
WINSERVN
WINSSK32
WINSTART
WINSTART001
WINTSK32
WINUPDATE
WKUFIND
WRADMIN
WRCTRL
WSBGATE
WUPDATER
WUPDT
XPF202EN
ZAPRO
ZAPSETUP3001
ZATUTOR
ZONALM2601
ZONEALARM
При попытке принудительного завершения пользователем процессов:
wndrivs.exe
mshtml32.exe
sdrives32.exe
winlgcver.exe
код червя, внедренный в процесс «explorer.exe», запускает их повторно.
Рекомендации по удалению
Обнаружение. Процедуры обнаружения этой версии червя были выпущены срочным обновлением баз данных «Антивируса Касперского».
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:
Перезагрузить компьютер в «безопасном режиме» (в самом начале загрузки компьютера нажать и удерживать клавишу «F8», затем выбрать пункт Safe Mode в меню загрузки Windows).
Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
Удалить файлы, созданные червем:
%System%\wndrivs.exe
%System%\mshtml32.exe
%System%\sdrives32.exe
%System%\winlgcver.exe
Удалить ключи системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run Once]
"Start Services" = "%WormCopy%"
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Windows Explorer" = "explorer.exe %WormCopy%"
"Logon Data" = "%WormCopy%"
[HKLM\Software\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run]
"Policies Settings" = ""
[HKLM\Software\RMX\cfg]
Изменить модифицированный файл «%System%\drivers\etc\hosts», используя любое стандартное приложение (например, «Блокнот» — Notepad). Требуется удалить все добавленные червем строки.
Оригинальный файл «hosts» выглядит следующим образом:
# (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом '#'.
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x
127.0.0.1 localhost
Проверить все флэш-накопители, которые подключались к зараженному компьютеру, на наличие следующих файлов в корневом каталоге:
game.exe
zjbs.exe
autorun.inf
Если такие файлы существуют, удалить их.
lastmylove
20.10.2007, 16:06
PWS-Pykse
Поступает на компьютер через рассылки спама в группах новостей, IRC, P2P-сетях.
После запуска сообщает о том, что плагин "Skype-Defender" установлен.
Если Skype запущен, то отключает его, и выводит фальшивое окно авторизации.
Не устанавливает в реестр записей для собственной автозагрузки.
Псевдонимы:
Trojan-Spy.Win32.Skyper.b (F-Secure, Kaspersky)
TSPY_SPEYK.A (Trend Micro)
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троян для платформы Windows; представляется плагином для Skype "Skype-Defender". Собирает реквизиты доступа к Skype и отправляет на веб-сайт атакующего. Для этого отображает фальшивое окно входа в Skype; после ввода сообщает, что пароль не подходит.
источник: Vil.Nai.com
lastmylove
20.10.2007, 16:07
Spyware.IncredibleKey
При установке создает файлы:
%Program Files%\Incredible Keylogger\abcamber1.jpg
%Program Files%\Incredible Keylogger\abcamber2.jpg
%Program Files%\Incredible Keylogger\AdvKeylog.exe
%Program Files%\Incredible Keylogger\CleanTrace.exe
%Program Files%\Incredible Keylogger\Config.xml
%Program Files%\Incredible Keylogger\Configuration.exe
%Program Files%\Incredible Keylogger\help.htm
%Program Files%\Incredible Keylogger\HookFileAPIs.dll
%Program Files%\Incredible Keylogger\HookTerminateAPIs.dll
%Program Files%\Incredible Keylogger\installation.url
%Program Files%\Incredible Keylogger\KeyboardHook.dll
%Program Files%\Incredible Keylogger\SendMail_Lib.dll
%Program Files%\Incredible Keylogger\SMTPHook.dll
%Program Files%\Incredible Keylogger\unins000.dat
%Program Files%\Incredible Keylogger\unins000.exe
%Program Files%\Incredible Keylogger\UnzDll.dll
%Program Files%\Incredible Keylogger\ZipDll.dll
В реестре создает подключи:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\{0CA58FF4-BB1E-413B-88AE-D117D22F9B20}_is1
HKEY_CURRENT_USER\Software\AdvKeylog
Обеспечивает себе через реестр автозагрузку при каждом запуске Windows:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Incredible Keylogger" = "%Program Files%\Incredible Keylogger\AdvKeylog.exe"
ЗАЩИТА
Для удаления приложения из системы необходимо использовать антивирус, содержащий в базе сигнатур определение IncredibleKeylogger. Созданные приложением записи в реестре необходимо удалить вручную утилитой regedit ("Редактор реестра").
Действие
Приложение IncredibleKeylogger v2.5 (поставщик installation.net) представляет собой spyware типа "клавиатурный шпион". Записывает данные о нажатых клавишах.
источник: Symantec.com
lastmylove
20.10.2007, 16:08
Trojan.Fakeavalert
При запуске создает следующие файлы:
%UserProfile%\Start Menu\Programs\Startup\system.exe
C:\Documents and Settings\All Users\ Start Menu\Programs\Startup\autorun.exe
%System%\printer.exe
%System%\WinAvXX.exe
Через реестр обеспечивает себе автозагрузку при каждом запуске Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"WinAVX" = "%System%\WinAvXX.exe"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run\"WinAVX" = "%System%\WinAvXX.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "Explorer.exe %System%\printer.exe"
Модифицирует настройки безопасности зон Internet Explorer:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1200" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1608" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1804" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1200" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1608" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1804" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1200" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1608" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1804" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1200" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1608" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1804" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"2500" = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1200" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1201" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1208" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1608" = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1804" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"2500" = "3"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Enable Browser Extensions" = "yes"
Через реестр разрешает себе полный доступ в интернет через Windows Firewall:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S haredAccess\Parameters\FirewallPolicy\DomainProfil e\AuthorizedApplications\List\%Windir%\system32\"winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S haredAccess\Parameters\FirewallPolicy\StandardProf ile\AuthorizedApplications\List\%Windir%\system32\"winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\S haredAccess\Parameters\FirewallPolicy\DomainProfil e\AuthorizedApplications\List\%Windir%\system32\"winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\S haredAccess\Parameters\FirewallPolicy\StandardProf ile\AuthorizedApplications\List\%Windir%\system32\"winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\DomainPr ofile\AuthorizedApplications\List\%Windir%\system3 2\"winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List\%Windir%\syste m32\"winav.exe" = "%Windir%\system32\winav.exe:*:Enabled:@xpsp2res.dl l,-22019"
Через реестр устанавливает Microsoft Internet Explorer как приложение запуска .htm, .html, .shtml, .xht, and .xhtml файлов по умолчанию:
HKEY_CLASSES_ROOT\.htm\"(Default Value)" = "htmlfile"
HKEY_CLASSES_ROOT\.html\"(Default Value)" = "htmlfile"
HKEY_CLASSES_ROOT\.shtml\"(Default Value)" = "htmlfile"
HKEY_CLASSES_ROOT\.xht\"(Default Value)" = "htmlfile"
HKEY_CLASSES_ROOT\.xhtml\"(Default Value)" = "htmlfile"
Через реестр отключает различные системные утилиты и функции:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\"EnableBalloonTips" = "1"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"EnableBalloonTips" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\system\"DisableTaskMgr" = "1"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\policies\system\"DisableTaskMgr" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoControlPanel" = "1"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\Explorer\"NoControlPanel" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\system\"DisableRegistryTools" = "1"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\policies\system\"DisableRegistryTools" = "1"
HKEY_CURRENT_USER\Software\Policies\Microsoft\wind ows\Windows Update\"NoAutoUpdate" = "1"
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Win dows\WindowsUpdate\AU\"NoAutoUpdate" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoWindowsUpdate" = "1"
Через реестр устанавливает Internet Explorer как приложение обработки URL gopher, http и https по умолчанию:
HKEY_CLASSES_ROOT\gopher\shell\open\command\:""C:\Program Files\Internet Explorer\"iexplore.exe" = "-nohome"
HKEY_CLASSES_ROOT\gopher\shell\open\command\: ""C:\Program Files\Internet Explorer\"iexplore.exe" = "%1"
HKEY_CLASSES_ROOT\HTTP\shell\open\command\: ""C:\Program Files\Internet Explorer\"iexplore.exe" = "-nohome"
HKEY_CLASSES_ROOT\HTTP\shell\open\command\: ""C:\Program Files\Internet Explorer\"iexplore.exe" = "%1"
HKEY_CLASSES_ROOT\https\shell\open\command\: ""C:\Program Files\Internet Explorer\"iexplore.exe" = "-nohome"
HKEY_CLASSES_ROOT\https\shell\open\command\: ""C:\Program Files\Internet Explorer\"iexplore.exe" = "%1"
Через реестр заменяет поиск и стартовую страницу Internet Explorer с Microsoft на Google:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Default_Search_URL" = "http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
на HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Default_Search_URL" = "http://www.google.com/ie"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Search Page" = "http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
на HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Search Page" = "http://www.google.com"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Start Page" = "http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home"
на HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\"Start Page" = "http://www.google.com"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "http://www.microsoft.com/"
на HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "http://www.google.com"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Search Page" = "http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
на HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Search Page" = "http://www.google.com"
Отключает доступ к ряду рекламных и антивирусных сайтов, сопоставляя им IP-адрес 192.168.200.3 в файле %System%\drivers\etc\hosts:
192.168.200.3 ad.doubleclick.net
192.168.200.3 ad.fastclick.net
192.168.200.3 ads.fastclick.net
192.168.200.3 ar.atwola.com
192.168.200.3 atdmt.com
192.168.200.3 avp.ch
192.168.200.3 avp.com
192.168.200.3 avp.ru
192.168.200.3 awaps.net
192.168.200.3 banner.fastclick.net
192.168.200.3 banners.fastclick.net
192.168.200.3 ca.com
192.168.200.3 click.atdmt.com
192.168.200.3 clicks.atdmt.com
192.168.200.3 customer.symantec.com
192.168.200.3 dispatch.mcafee.com
192.168.200.3 download.mcafee.com
192.168.200.3 download.microsoft.com
192.168.200.3 downloads-us1.kaspersky-labs.com
192.168.200.3 downloads-us2.kaspersky-labs.com
192.168.200.3 downloads-us3.kaspersky-labs.com
192.168.200.3 downloads.microsoft.com
192.168.200.3 downloads1.kaspersky-labs.com
192.168.200.3 downloads2.kaspersky-labs.com
192.168.200.3 downloads3.kaspersky-labs.com
192.168.200.3 downloads4.kaspersky-labs.com
192.168.200.3 engine.awaps.net
192.168.200.3 f-secure.com
192.168.200.3 fastclick.net
192.168.200.3 ftp.avp.ch
192.168.200.3 ftp.downloads1.kaspersky-labs.com
192.168.200.3 ftp.downloads2.kaspersky-labs.com
192.168.200.3 ftp.downloads3.kaspersky-labs.com
192.168.200.3 ftp.f-secure.com
192.168.200.3 ftp.kasperskylab.ru
192.168.200.3 ftp.sophos.com
192.168.200.3 go.microsoft.com
192.168.200.3 ids.kaspersky-labs.com
192.168.200.3 kaspersky-labs.com
192.168.200.3 kaspersky.com
192.168.200.3 liveupdate.symantec.com
192.168.200.3 liveupdate.symantecliveupdate.com
192.168.200.3 mast.mcafee.com
192.168.200.3 mcafee.com
192.168.200.3 media.fastclick.net
192.168.200.3 microsoft.com
192.168.200.3 msdn.microsoft.com
192.168.200.3 my-etrust.com
192.168.200.3 nai.com
192.168.200.3 networkassociates.com
192.168.200.3 norton.com
192.168.200.3 office.microsoft.com
192.168.200.3 pandasoftware.com
192.168.200.3 phx.corporate-ir.net
192.168.200.3 rads.mcafee.com
192.168.200.3 secure.nai.com
192.168.200.3 securityresponse.symantec.com
192.168.200.3 service1.symantec.com
192.168.200.3 sophos.com
192.168.200.3 spd.atdmt.com
192.168.200.3 support.microsoft.com
192.168.200.3 symantec.com
192.168.200.3 trendmicro.com
192.168.200.3 update.symantec.com
192.168.200.3 updates.symantec.com
192.168.200.3 updates1.kaspersky-labs.com
192.168.200.3 updates2.kaspersky-labs.com
192.168.200.3 updates3.kaspersky-labs.com
192.168.200.3 updates4.kaspersky-labs.com
192.168.200.3 updates5.kaspersky-labs.com
192.168.200.3 us.mcafee.com
192.168.200.3 vil.nai.com
192.168.200.3 viruslist.com
192.168.200.3 viruslist.ru
192.168.200.3 virusscan.jotti.org
192.168.200.3 virustotal.com
192.168.200.3 windowsupdate.microsoft.com
192.168.200.3 www.avp.ch
192.168.200.3 www.avp.com
192.168.200.3 www.avp.ru
192.168.200.3 www.awaps.net
192.168.200.3 www.ca.com
192.168.200.3 www.f-secure.com
192.168.200.3 www.fastclick.net
192.168.200.3 www.grisoft.com
192.168.200.3 www.kaspersky-labs.com
192.168.200.3 www.kaspersky.com
192.168.200.3 www.kaspersky.ru
192.168.200.3 www.mcafee.com
192.168.200.3 www.microsoft.com
192.168.200.3 www.my-etrust.com
192.168.200.3 www.nai.com
192.168.200.3 www.networkassociates.com
192.168.200.3 www.pandasoftware.com
192.168.200.3 www.sophos.com
192.168.200.3 www.symantec.com
192.168.200.3 www.symantec.com
192.168.200.3 www.trendmicro.com
192.168.200.3 www.viruslist.com
192.168.200.3 www.viruslist.ru
192.168.200.3 www.virustotal.com
192.168.200.3 www3.ca.com
Выводит сообщение о якобы ведущейся на компьютере активности spyware.
Заголовок: "Windows Security Alert Caption:"
Сообщение: "Warning! Potential Spyware Operation
"Your computer is making unauthorized copies of your system and Internet files. Run full scan now to pervent any unathorised access to your files! Click YES to download spyware remover ..."
Предлагает просканировать систему.
Если пользователь нажимает "ДА", троян запускает Internet Explorer и загружает страницу [http://]gomyhit.com/MTc3MTY=/2/6018/6???
Также открывает сайт [http://]avsystemcare.com/da???
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Ослабляет настройки безопасности системы. Отображает сообщение о якобы обнаруженной активности spyware, предлагает просканировать систему, и, в случае согласия, обращается через Internet Explorer к вредоносному сайту.
источник: Symantec.com
lastmylove
20.10.2007, 16:08
Trojan.Mdropper.Z
Поступает на компьютер в виде вредоносного DOC-файла (одно из названий "hope see again.doc"), содержащего эксплоит для уязвимости Microsoft Word к выполнению произвольного кода при открытии документов.
Shell-код, содержащийся в эксплоите, создает во временной директории Windows (%Temp%) файл %Temp%\csrse.exe - файл типа Trojan.Dropper, предназначенный для установки вредоносного кода в систему.
Запускает csrse.exe; файл копирует себя в системную директорию Windows (%System%) - %System%\msmsgs.exe.
Создает следующие файлы:
%Temp%\drv.tak (Hacktool.Rootkit)
%Windir%\bus675.sys (Hacktool.Rootkit)
%Windir%\tmp.drv (Hacktool.Rootkit)
C:\Documents and Settings\All Users\Application Data\Microsoft\Comon\ctfmon.exe (Backdoor.Trojan)
Через реестр обеспечивает себе автозагрузку при каждом запуске Windows:
HKEY_USERS\Software\Microsoft\Windows\CurrentVersi on\Explorer\User Shell Folder\"Startup" = "C:\Documents and Settings\All Users\Application Data\Microsoft\Comon\ctfmon.exe"
Hacktool.Rootkit - руткит, обеспечивающий невидимость вредоносных модулей в системе и отключающий защитные приложения.
Создает в директории %Temp% и открывает файл "hope see again.doc", не содержащий вредоносного кода. В файле находится текст на китайском языке.
Открывает на компьютере "черный ход", подключаясь к серверу roudan.3322.org:80.
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформ Windows 2000 и старше; представляет собой вредоносный документ Word (.DOC), эксплуатирующий уязвимость Microsoft Word к выполнению произвольного кода при открытии документов.
Открывает на захваченном компьютере "черный ход".
Загружает из интернета и запускает дополнительные вредоносные модули.
источник: Symantec.com
lastmylove
20.10.2007, 16:09
Infostealer.Orcu.B
Рассылается атакующими через интернет-пейджеры Microsoft или в сообщениях пользователям Orkut. Сообщение содержит ссылку на вредоносную страницу и текст на бразильском португальском:
ve ai a msg q te enviei pelo mensageiro... [http://]www.orkutmessage744.pop3.ru
ve ai a msg q te enviei pelo mensageiro... [http://]www.orkutmessage726.pop3.ru
При нажатии на ссылку пользователь попадает на веб-страницу с текстом:
Bem-vindo(a)
Voce esta conectado a 65.850.366 pessoas.
Aumente sua rede agora mesmo!
Sorte de hoje:
Voce viajara para muito longe
Dica de seguranca:
Nao divulgue seu nome de usuario, sua senha e informacoes pessoais.
Voce recebeu uma mensagem pelo mensageiro virtual do orkut.
- Nivel de seguranca da mensagem!
Conectando no servidor [http://]www.orkut.com/messag???...
O download da mensagem comecara em poucos segundos. Caso isso nao aconteca, clique aqui
Пытается эксплуатировать уязвимость в ActiveX-компоненте Microsoft MDAC RDS.Dataspace к удаленному выполнению произвольного кода (MS06-003). При помощи уязвимости со страницы http://www.tmessagefrindeasp.pop3.ru/messagefri??? загружается копия трояна.
При первом запуске копирует себя как:
%Windir%\rnxntup.exe
%UserProfile%\Local Settings\Temp\manjwax.exe
Создает следующие файлы:
%Windir%\xzmsa.adt
%Windir%\xzoka.adt
%Windir%\xzsui.adt
%Windir%\xzwok.adt
Обеспечивает себе автозагрузку, записывая в реестр следующий ключ:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"xmnfuruwk" = "C:\WINDOWS\rnxntup.exe"
Загружает дополнительные вредоносные модули и трояны с URL:
[http://]www.ccmessagereposity.pop3.ru/xms???
[http://]www.ccmessagereposity.pop3.ru/hork???
[http://]www.ccmessagereposity.pop3.ru/xnet???
[http://]www.ccmessagereposity.pop3.ru/xork???
Сохраняет их и запускает:
%Windir%\rnxntup.exe - обновленная копия Infostealer.Orcu.B
%System%\hork.exe
C:\Documents and Settings\All Users\ Start Menu\Programs\Startup\mxjxde.exe - Infostealer.Banker.B
C:\Documents and Settings\All Users\ Start Menu\Programs\Startup\jvms.exe - Infostealer.Bancos
Через реестр разрешает доступ вредоносным модулям к интернету в Windows Firewall:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S haredAccess\Parameters\FirewallPolicy\StandardProf ile\AuthorizedApplications\List\%SystemDrive%\Docu ments and Settings\All Users\start menu\programs\startup\"mxjxde.exe" = "%SystemDrive%\Documents and Settings\All Users\start menu\programs\startup\mxjxde.exe:*:Enabled:mansnsb lad"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S haredAccess\Parameters\FirewallPolicy\StandardProf ile\AuthorizedApplications\List\%SystemDrive%\Docu ments and Settings\All Users\start menu\programs\startup\"jvms.exe" = "%SystemDrive%\Documents and Settings\All Users\start menu\programs\startup\jvms.exe:*:Enabled:horacast"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List\%SystemDrive%\ Documents and Settings\All Users\start menu\programs\startup\"mxjxde.exe" = "%SystemDrive%\Documents and Settings\All Users\start menu\programs\startup\mxjxde.exe:*:Enabled:mansnsb lad"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\AuthorizedApplications\List\%SystemDrive%\ Documents and Settings\All Users\start menu\programs\startup\"jvms.exe" = "%SystemDrive%\Documents and Settings\All Users\start menu\programs\startup\jvms.exe:*:Enabled:horacast"
Пытается отключать следующие процессы:
ashdisp.exe
ashmaisv.exe
ashserv.exe
ashwebsv.exe
aswupdsv.exe
avgamsvr.exe
avgcc.exe
avgemc.exe
avgupsvc.exe
ccapp.exe
cccproxy.exe
ccevtmgr.exe
ccsetmgr.exe
gcasServ.exe
Kav.exe
KAVPF.exe
mcappins.exe
mcdash.exe
Mcdetect.exe
mcinfo.exe
mcinsupd.exe
mcmnhdlr.exe
mcregwiz.exe
McShield.exe
McTskshd.exe
mcupdmgr.exe
mcupdui.exe
McVSEscn.exe
mcvsftsn.exe
mcvsmap.exe
mghtml.exe
MpfAgent.exe
MpfConsole.exe
MpfService.exe
MpfTray.exe
MpfWizard.exe
mvtx.exe
naiavfin.exe
nod32krn.exe
oasclnt.exe
zlclient.exe
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows; похищает конфиденциальную информацию и отправляет ее атакующему.
Поступает на компьютер через ссылки в сообщениях социальной сети Orkut или в сообщениях интернет-пейджеров Microsoft. На вредоносных страницах для внедрения кода используется уязвимость в ActiveX-компоненте Microsoft RDS.Dataspace (MS06-003).
источник: Symantec.com
lastmylove
20.10.2007, 16:09
W32.Pajetbin
При запуске создает в корне диска C: директорию со случайным именем, куда записывает следующие файлы:
[СЛУЧАЙНОЕ_ИМЯ].exe
[СЛУЧАЙНОЕ_ИМЯ]#.exe
BProtect.exe
BProtect.avx
Set1.Ico
Проверяет существование файла c:\vbvirus\ownerprotect.ptt. В случае обнаружения, отображает окно сообщения с текстом "Авторский режим" на китайском языке.
Если файл не найден, заражает файлы .EXE. Содержимое некоторых файлов перед заражением может быть заменено на содержимое других файлов.
Создает следующие записи в реестре:
HKEY_CURRENT_USER\Software\VB and VBA Program Settings\MSFirewall\Options\"CPath" = "C:\[СЛУЧАЙНЫЕ_СИМВОЛЫ]\"
HKEY_CURRENT_USER\Software\VB and VBA Program Settings\MSFirewall\Options\"CRoot" = "c:\[СЛУЧАЙНЫЕ_СИМВОЛЫ]\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe"
Обеспечивает себе автозагрузку при каждом запуске Windows, записывая ссылку на себя в соответствующий раздел реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"[RANDOM CHARACTERS]" = "c:\[СЛУЧАЙНЫЕ_СИМВОЛЫ]\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe".
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Вирус для платформы Windows; заражает исполняемые файлы .EXE. Иногда может заменять содержимое одного .EXE файла на другой перед заражением.
источник: Symantec.com
lastmylove
20.10.2007, 16:10
Adware.Mycashbag
При установке создает следующие файлы:
%ProgramFiles%\mycashbag\cashbackban.dat
%ProgramFiles%\mycashbag\cashbackok.dat
%ProgramFiles%\mycashbag\cashbackskip.dat
%ProgramFiles%\mycashbag\getinfo.dll
%ProgramFiles%\mycashbag\License.txt
%ProgramFiles%\mycashbag\mycashbag.dll
%ProgramFiles%\mycashbag\uccbp.exe
%ProgramFiles%\mycashbag\uninstall.exe
Обеспечивает себе автозагрузку при каждом запуске Windows, делая соответствующую запись в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"MyCashbag" = "ProgramFiles\mycashbag\uccbp.exe"
Также создает в реестре следующие подключи:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{04EF01B B-6BFC-4BF5-B0A8-F15F62E4A541}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{302E917 D-6BD5-4E5F-9BFA-602F08A1C12D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4269BF8 0-E154-4137-884E-1627CF035202}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{23F E1A81-8A32-4137-ABDE-47D076676E26}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{5AB 7B412-F020-406E-BFE9-D9488BEF86DC}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{675 0144B-49DB-480F-AD0E-66D998E9936D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{83E BBC91-8A3C-4D0B-8C5B-DF2C9562B43F}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{9BC 60CB0-D2D0-4C1E-9A34-D39CD2D87E4E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A8BAC 09E-D965-4896-8E0E-C5B0452BD5F3}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{E4F1A 956-BBA6-4FF5-BDE9-7A6A3FF0F5D0}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Getinfo.Util
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Getinfo.Util.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Mycashbag.Tool Bar
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Mycashbag.Tool Bar.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Mycashbag.View Source
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Mycashbag.View Source.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FB38A9DF-23D4-4252-B207-62E0476CBEAC}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{04EF01BB-6BFC-4BF5-B0A8-F15F62E4A541}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\mycashbag
HKEY_LOCAL_MACHINE\SOFTWARE\mycashbag
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats\{04EF01BB-6BFC-4BF5-B0A8-F15F62E4A541}
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats\{FB38A9DF-23D4-4252-B207-62E0476CBEAC}
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats\{4269BF80-E154-4137-884E-1627CF035202}
Устанавливает панель Microsoft Internet Explorer и отображает рекламу во всплывающих окнах браузера в зависимости от контекста - посещаемых сайтов или выполнении определенных поисковых запросов.
ЗАЩИТА
Для устранения adware рекомендуется использовать антивирусную программу, содержащую определение Adware.Mycashbag (по классификации Symantec) в базе сигнатур.
Действие
Рекламное приложение для платформы Windows; устанавливает панель Microsoft Internet Explorer и отображает рекламу во всплывающих окнах браузера в зависимости от контекста поисковых запросов и посещаемых сайтов.
источник: Symantec.com
lastmylove
20.10.2007, 16:10
W32.Stemclover
При первом запуске сохраняет свои копии как %Windir%\system23\aniee.exe и %System%\hanny.exe.
Записывает в файл c:\autoexec.bat команды вывода текста на индонезийском языке на экран:
@echo off
Cls
Echo Aniee sayang....
Echo.
Echo Semua yang kulakukan hanya untuk kamu
Echo tapi rasa rindu tidak bisa aku sembunyikan
Echo Perasaan ini sudah gak kuat untuk melepaskan kerinduan ini
Echo.
Echo Aku sangat merindukan kehadiran kamu disisiku
Echo.
Echo.
Echo Salam sayang selalu
Pause >nul
Текст выводится при загрузке компьютера в системах Windows 95, 98, ME.
Копирует себя на совместно используемые сетевые директории, а также в корень сетевых и съемных дисков (winsys.exe, "Dokter Cinta.Jpg.exe", autorun.inf).
Записывает копию червя VBS.Stemclover в c:\Tunggul.vbs.
Также может создавать файл c:\aniee.txt.
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Червь для платформы Windows. Распространяется копированием себя на сетевые (имеющие букву) и съемные диски, а также на совместно используемые сетевые директории.
Распространяет червя VBS.Steamclover.
При запуске компьютера под Windows 95, 98 или ME отображает в консольном режиме текст на индонезийском языке. Команды вывода текста записывает в autoexec.bat.
источник: Symantec.com
lastmylove
20.10.2007, 16:11
VBS.Stemclover
При первом запуске копирует себя как:
%System%\iexplore.vbs
%Temp%\Bogor.vbs
%Desktop%\Harry Potter.lnk
%Startup%\Bogor Kota Hujan.lnk
%Windir%\Tunggul.vbs
*:\Tunggul.vbs
(* - все съемные диски)
Обеспечивает себе автозагрузку при каждом запуске Windows, записывая ссылку на себя в соответствующий раздел реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"WinSistem" = "wscript.exe %Windir%\Tunggul.vbs"
Блокирует запуск ряда приложений, сопоставляя строку " " опции Debugger для каждого из них. При запуске указанного приложения, вместо него запускается указанное в ключе Debugger. Таким образом, при указании " " ничего не запускается.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[ПРИЛОЖЕНИЕ]\"Debugger" = " "
Блокируются следующие приложения ([ПРИЛОЖЕНИЕ]):
msconfig.exe
regedit.exe
PCMAV.exe
PCMAV-CLN.exe
PCMAV-RTP.exe
PCMAV-SE.exe
VB6.exe
autorun.exe
ansav.exe
ansavgd.exe
viremoval.exe
avscan.exe
avgnt.exe
iexplore.exe
firefox.exe
Отключает через реестр функцию поиска, пункт запуска программ в меню "Пуск", доступ к "Редактору реестра" и "Диспетчеру задач":
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoFind" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoFolderOptions" = "1" HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoRun" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableRegistryTools" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableTaskMnr" = "0"
Заменяет иконку для файлов типа VBS:
HKEY_CLASSES_ROOT\vbsfile\DefaultIcon\("Default") = "shell32.dll,2"
Копирует себя на все съемные диски (см. выше).
Может искать файлы с расширением .xls и создавать "файлы-спутники" с таким же именем и приписанным расширением .vbs (file.xls -> file.xls.vbs).
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows, написанный на языке Visual Basic Script (VBS). Распространяется копированием на все съемные диски.
источник: Symantec.com
lastmylove
20.10.2007, 16:11
JS.Harunaut
При запуске создает в системной директории Windows файл Haha.js с атрибутами "скрытый", "системный" "только для чтения" и "архивный".
Копирует себя под тем же именем в корни всех дисков вместе с файлом autorun.inf, обеспечивающим ему автозапуск при подключении диска к системе.
Заменяет заголовок окна "Microsoft Internet Explorer" на "Haha" через реестр:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "Haha"
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Восстановить изменённые значения реестра (использовать regedit.exe)
Действие
Червь для платформы Windows, написанный на JavaScript. Распространяется, копируя себя в корни дисков вместе с файлом autorun.inf, обеспечивающим автозапуск.
Заменяет заголовок окна "Microsoft Internet Explorer" на "Haha".
источник: Symantec.com
lastmylove
20.10.2007, 16:12
W32.Niuniu
При первом запуске копирует себя как %System%\crsss.exe.
Копирует себя на все съемные и сетевые диски в корень под именем niu.exe, там же размещает файл autorun.inf со ссылкой на себя. Таким образом, червь запускается при подключении диска к системе. Оба файла имеют атрибуты "скрытый".
Через реестр обеспечивает себе автозапуск при каждой загрузке Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"(Default)" = "C:\WINDOWS\system32\crsss.exe"
Через реестр отключает отображение скрытых файлов, обновление Windows и "Диспетчер задач" соответственно:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden\SHOWALL \"CheckedValue" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\WindowsUpdate\"DisableWindowsUpdateAccess" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableTaskMgr" = "1"
Через реестр устанавливает себя в качестве отладчика для ряда приложений. Таким образом, при запуске любого из этих приложений вначале запустится червь.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[ПРИЛОЖЕНИЕ]\"Debugger" = "C:\WINDOWS\system32\crsss.exe"
Список приложений ([ПРИЛОЖЕНИЕ]):
360rpt.exe
360Safe.exe
360tray.exe
adam.exe
AgentSvr.exe
AppSvc32.exe
AST.exe
autoruns.exe
avconsol.exe
avgrssvc.exe
AvMonitor.exe
avp.com
avp.exe
CCenter.exe
ccSvcHst.exe
EGHOST.exe
FileDsty.exe
FTCleanerShell.exe
FYFireWall.exe
HijackThis.exe
IceSword.exe
iparmo.exe
Iparmor.exe
isPwdSvc.exe
kabaload.exe
KaScrScn.SCR
KASMain.exe
KASTask.exe
KAV32.exe
KAVDX.exe
KAVPF.exe
KAVPFW.exe
KAVSetup.exe
KAVStart.exe
KISLnchr.exe
KMailMon.exe
KMFilter.exe
KPFW32.exe
KPFW32X.exe
KPfwSvc.exe
KRegEx.exe
KRepair.com
KsLoader.exe
KVCenter.kxp
KvDetect.exe
KvfwMcl.exe
KVMonXP.kxp
KVMonXP_1.kxp
kvol.exe
kvolself.exe
KvReport.kxp
KVScan.kxp
KVSrvXP.exe
KVStub.kxp
kvupload.exe
kvwsc.exe
KvXP.kxp
KvXP_1.kxp
KWatch.exe
KWatch9x.exe
KWatchX.exe
loaddll.exe
MagicSet.exe
mcconsol.exe
mmc.exe
mmqczj.exe
mmsk.exe
Navapsvc.exe
Navapw32.exe
nod32.exe
nod32krn.exe
nod32kui.exe
NPFMntor.exe
PFW.exe
PFWLiveUpdate.exe
QHSET.exe
QQDoctor.exe
QQKav.exe
Ras.exe
Rav.exe
RavMon.exe
RavMonD.exe
RavStub.exe
RavTask.exe
RegClean.exe
regedit.exe
rfwcfg.exe
rfwmain.exe
rfwProxy.exe
rfwsrv.exe
RsAgent.exe
Rsaupd.exe
runiep.exe
safelive.exe
scan32.exe
shcfg32.exe
SmartUp.exe
SREng.EXE
symlcsvc.exe
SysSafe.exe
taskmgr.exe
TrojanDetector.exe
Trojanwall.exe
TrojDie.kxp
UIHost.exe
UmxAgent.exe
UmxAttachment.exe
UmxCfg.exe
UmxFwHlp.exe
UmxPol.exe
upiea.exe
UpLive.exe
vsstat.exe
webscanx.exe
WoptiClean.exe
zxsweep.exe
Включает отображение стартовой страницы Microsoft Internet Explorer и устанавливает ее на определенный сайт:
HKEY_CURRENT_USER\Software\Policies\Microsoft\Inte rnet Explorer\Control Panel\"HomePage" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page = "[НЕИЗВЕСТНО]"
Ищет файлы формата HTML, а также серверных сценариев ASP и PHP:
*.HTM
CONN.ASP
DEFAULT.ASP
DEFAULT.PHP
INDEX.ASP
INDEX.PHP
Внедряет в конец файлов код загрузки сайта, содержащего копию червя:
".
Такие файлы определяются антивирусами Symantec как W32.Nuinui!inf.
Удаляет со всех дисков все файлы с расширением GHO.
Открывает через Internet Explorer сайт [http://]www.testks.com/tj.[УДАЛЕНО].
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием на съемные и совместно используемые сетевые диски и внедрением ссылки на вредоносную веб-страницу со своей копией в некоторые html-файлы.
источник: Symantec.com
lastmylove
20.10.2007, 16:12
Worm_Nuvar.arc
При первом запуске копирует себя в директорию Windows (%Windows%\spooldr.exe. Записывает драйвер-руткит в системную директорию Windows (%System%\spooldr.sys).
Модифицирует драйвер TCP/IP (%System%\dllcache\tcpip.sys и %System%\drivers\tcpip.sys
Распространяется по электронной почте, рассылая письма с предложением получить электронную открытку и ссылкой на вредоносный код (файл SuperLaugh.exe), расположенный на одном из более чем 50 сайтов без доменного имени. По ссылке содержится изображение смеющегося кота и ссылка на копию червя "Click Here To Get Your personal Kitty Card from Psycho Cat".
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Червь для платформы Windows с функционалом руткита. Распространяется по электронной почте, предлагая принять открытку якобы с легального сайта открыток. Вредоносный сайт содержит фотографию смеющегося котенка.
источник: TrendMicro.com
lastmylove
20.10.2007, 16:12
W32.Debanpass
При первом запуске создает файлы:
%System%\crase.exe
%System%\winebay.exe
%System%\url.tmp
%System%\dde.st
C:\tmpsss.log
C:\xxjsnxx.tmp
Обеспечивает себе автозагрузку, создавая в реестре следующую запись:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "%System%\userinit.exe,,crase.exe"
Распространяется, копируя себя в корень всех дисков под именем autorun.inf. Этот файл запускается автоматически при подключении диска к системе.
Крадет банковские реквизиты при посещении сайтов через Internet Explorer. В частности, сохраняет формы, содержащие следующий текст:
CN
SIGN IN
M/X/J
PLEASE SIGN IN
Y/Y/P/A/A
ACCEDI
YDL
IDENTIFICARSE
XBY
EINLOGGEN
R/D/D
EBAY - SIGN IN
M/F
EBAY
INLOGGEN
H/B
OUVRIR UNE
ZALOGUJ
[НЕКОТОРЫЕ_КИТАЙСКИЕ_СИМВОЛЫ]
Собранная информация отправляется на сайт [http://]www.ddebay.com[УДАЛЕНО]
ЗАЩИТА
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски; крадет банковские реквизиты, а также реквизиты сайта eBay, при вводе их в Microsoft Internet Explorer и отправляет их на веб-сайт атакующего.
источник: Symantec.com
Deementor
01.12.2007, 16:11
Trojan.Quimkit
При запуске открывает TCP-порт 554 (стандартный порт для серверов потокового видео Apple QuickTime); отправляет всем пользователям, подключившимся к серверу, shell-код, эксплуатирующий
Apple QuickTime Player 7.3 содержит уязвимость к удаленному выполнению произвольного кода при получении специально сформированного ответа RTSP от сервера.
Уязвимость связана с отсутствием проверки граничных значений поля "Content-Type" в ответе RTSP-сервера перед копированием их в стековый буфер фиксированной длины.
Условием эксплуатации уязвимости является подключение пользователя к вредоносному серверу, например, переход по ссылке на QTL-файл, содержащий ссылку на вредоносный сервер.
к выполнению кода в ответах RTSP-сервера.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Концептуальный троян для платформы Windows, эксплуатирующий критическую уязвимость в Apple QuickTime Player к выполнению кода в ответах RTSP-сервера.
©Symantec
Backdoor.Pharvest
Признаки
При старте копирует себя как %System%\crehcjid.dll.
Создает копию explorer.exe: %System%\explorer.exe.bak и драйвер %System%\tcpip_patcher.sys.
Модифицирует точку входа в %Windir%\explorer.exe так, чтобы при запуске сначала запускалась копия трояна.
Устанавливает tcpip_patcher.sys как сервис.
Собирает адреса электронной почты Outlook Experss, находя необходимые пути через реестр:
HKEY_CURRENT_USER\Software\Microsoft\Outlook Express
Подключается к 208.72.169.10:41001(TCP), обеспечивая атакующему "черный ход".
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Обеспечивает атакующему "черный ход" на захваченный компьютер, собирает адреса электронной почты.
©Symantec
Русские антивирусы провалили тест Virus Bulletin
для тех кому интерестно:
http://cnews.ru/news/top/index.shtml?2007/12/10/278736
http://www.viruslist.com/ru/analysis?pubid=174261388#avtests
http://www.av-comparatives.org/
ОБСУЖДЕНИЕ (http://www.anti-malware.ru/phpbb/viewtopic.php?t=3892)
Dark Rainfal
18.12.2007, 10:03
(c) virusinfo.info
Ссылка на описание и лечение вируса.
virusinfo.info/showthread.php?p=161534
Trojan.Win32.BHO.abo
Данная троянская программа инсталлируется эксплоитом в ходе посещения зараженных Интернет-ресурсов. Визуальное проявление эксплоита - свернутое окно IE с надписью "Loading:". Эксплоит загружает и запускает файл installer.exe размером 107520 байт, данный зловред детектируется ЛК как Trojan-Spy.Win32.BZub.buz. По количеству пострадавших, обратившихся за помощью в конференцию virusinfo.Info можно констатировать, что возникла эпидемия данного зловреда.
Будучи запущенным installer.exe скрытно выполняет следующие операции:
1. Выполняет ряд странных манипуляций с файлами, модифицирует заголовок своего окна и затем выполняет поиск окна с именем, который он установил ранее. По видимому эти операции применяются как элементы антиэвритики и антиэмуляции
2. Изучает список запущенных процессов
3. Осуществляет поиск и удаление файла WINDOWS\system32\avwa.dll
4. Создает в папке Temp файл с именем типа datXXXX.TMP, записывает в него PE файл и затем копирует полученный файл под именем WINDOWS\system32\avwa.dll. После копирования файл avwa.dll загружается (сам зловред написан на Delphi, размер 84 кб, сжат UPX)
5. Анализирует ключ Run в реестре, удаляет из него элементы, принадлежащие антивирусному и анти-шпионскому ПО
6. Регистрирует BHO и CLSID {00007D9C-4DC7-0000-A334-000024190000}, исполняемый файл avwa.dll. Регистрация в качестве BHO применяется в качестве автозапуска.
7. Пытается переименовать файлы в папке system32: ipv6mopz.dll, ipv6monq.dll, ipv6mote.dll, ipv6motp.dll, AClient.dll (новое имя файла отличается расширением "dl_")
На заметку: имя файла "avwa.dll" дано в качестве примера - имя меняется при каждой установке, известно, например имя blackbo.dll, dinputd.dll и т.п. Аналогично происходит с CLSID, который изменяется при каждом новом заражении ПК
Для защиты от обнаружения и удаления зловред устанавливает KernelMode драйвер, который защищает себя и библиотеку зловреда, блокируя их открытие (при этом сами файлы не маскируются). Имя драйвера меняется, расширение у известных разновидностей *.DAT (например ahwvwcrg.dat), драйвер размещается в папке system32\Drivers. Блокировка доступа к файлам реализована при помощи перехвата функции ObOpenObjectByName. В случае нейтрализации перехвата AVZ выводит сообщение о подозрении на руткит с указанием полного имени драйвера руткита.
Деятельность зловреда сводится к тому, что он выводит сообщения о наличие на ПК шпионского ПО (видимо имея в виду самого себя) и предлагая скачать программу SanitarDiska, открывая его домашнюю страничку. Кроме того, зловред модифицирует домашнюю страницу IE, заменяя ее на google.
garikkirag
18.12.2007, 16:23
ВСЕМ для инфы :arr:
WinNT.Annigilator v0.1
WinNT.Annigilator v0.1 - полиморфный вирус, написанный на ассемблере (~5000 строк, 75кб) Размер: 7кб. К вирусу прилагается программа-редактор списков плагинов, тоже написанная на ассемблере. Программа имеет русский интерфейс. Сделан только для nt систем и на 9х не работает. Автор: xh4ck
Уникальные возможности:
- Поддержка плагинов. Скачивается список плагинов с сервера, производится обновление плагинов, и, если нужно - удаление. Вся дополнительная функциональность реализована в виде плагинов (exe или dll)
- Каждый плагин может находиться на отдельном сервере и иметь любой размер (в разумных пределах)
- Вирус заражает все файлы, запущенные после него. Для этого он замещает функцию CreateProcessInternalW (см. комментарии в коде) Метод заражения: увеличение размера последней секции, оверлей файла не трогается.
- Вирус не заражает установочные файлы и файлы с большим размером (чтобы не отнимать память и не замедлять работу компьютера) - Если вирус запустить с параметром "-infect %file%", где %file% - любой exe-шник. Вирус заразаит этот файл и завершит свою работу.
- Шифрование: вирус при шифровании использует несколько различных ключей и обратимых операций.
- Полиморфизм: каждый раз процедура шифрования генерируется заново и имеет всегда различный код, каждая операция представлена несколькими ее вариантами, + используется генератор мусорных инструкций, что в сумме позволяет добиться почти полной неповторимости кода. - При заражении незначительно увеличивает размер файла
- Обходит файрвол
- Не имеет собственного процесса и использует перпроцессную резидентность
Плагины:
- Тырелка всех паролей на основе Pinch2Alpha, код доработан
- HTTP прокси сервер
- SOCKS 5 прокси сервер.
Исходняки прилагаются.
http://hellknights.void.ru/releases/WinNTAnnigilatorv01.rar (http://hellknights.void.ru/releases/WinNTAnnigilatorv01.rar)
++++++++++++++++++++++++++++++++++++++++++++++
Trojan-Downloader. Win32.Small.skn
Троянская программа, загружающая из интернета файлы без ведома пользователя.
Является приложением Windows (PE EXE-файл). Упакована UPX. Размер файла — около 6 КБ. Размер в распакованном виде — около 32 КБ.
Деструктивная активность
После запуска программа проверяет наличие выполняющейся своей второй копии, если таковая имеется, то программа завершает свою работу.
В противном случае, программа получает из интернета список URL, с которых должна производиться загрузка вредоносных программ и сохраняет его в зашифрованном виде в файле svcp.csv в системном каталогеWindows. После этого загружает указанные файлы и запускает их. Файлы сохраняются в системном каталоге Windows с их оригинальными именами.
Программа для хранения своих данных также использует файл winsub.xml в системном каталоге Windows и следующий ключ реестра:
[HKEY_CURRENT_USER]
"WindowsSubVersion"
+++++++++++++++++++++++++++++++++++++
Trojan-Downloader. Win32.Getfiles
Троянская программа, загружающая из интернета файлы без ведома пользователя.
Является приложением Windows (PE EXE-файл). Написана на языке Borland Delphi. Ничем не упакована. Размер зараженного файла — 43008 байт.
Деструктивная активность
После запуска программа загружает из Интернета файл http://www.alibaba***.net/teens.exe (http://www.alibaba***.net/teens.exe) (на момент создания описания данная ссылка не работала) и сохраняет его в корневой каталог Windows:
%Windir%\teens.exe
После чего скаченный файл запускается на исполнение.
В различных версиях данного троянца имя скаченного файла может варьироваться.
Другие названия
Trojan-Downloader.Win32.Getfiles («Лаборатория Касперского») также известен как: TrojanDownloader.Win32.Getfiles («Лаборатория Касперского»), Generic Downloader.c (McAfee), Downloader (Symantec), Trojan.DownLoader.43008 (Doctor Web), TrojanDownloader:Win32/Erom (RAV), TROJ_EROM.A (Trend Micro), TR/Dldr.Getfiles.3 (H+BEDV), Downloader.Getfiles (Grisoft), Trojan.Downloader.Getfiles.B (SOFTWIN), Trojan Horse (Panda), Win32/TrojanDownloader.GetFiles.A (Eset)
++++++++++++++++++++++++++++++++++++++++++++
Trojan-Downloader.Win32. Small.cop
Троянская программа, загружающая из интернета файлы без ведома пользователя.
Является приложением Windows (PE EXE-файл). Ничем не упакована. Размер зараженного файла — 3584 байта.
Деструктивная активность
После запуска троянец ждёт подключения зараженного компьютера к интернету. После чего пытается загрузить файл с URL http://**.249.23.82/ntraf12.dat и сохранить его во временном каталоге Windows под именем msdoc.exe:
%Temp%\msdoc.exe
На момент создания описания данная ссылка не работала.
После сохранения на диске загруженный файл запускается на исполнение.
Также троянец производит HTTP-запросы к различным URL, в которых указывается уникальный идентификатор компьютера.
+++++++++++++++++++++++++++++++++++++++++++++++++
Trojan-Downloader.Win32. Small.cjs
Троянская программа, загружающая из интернета файлы без ведома пользователя.
Является приложением Windows (PE EXE-файл). Написана на Visual C++. Упакована UPX. Размер зараженного файла — 13824 байта. Размер распакованного — около 46 КБ.
Деструктивная активность
После запуска троянец загружает с URL http://www.www2.p***2.com другую троянскую программу и запускает ее. При этом оригинальный запускаемый файл удаляется.
В свою очередь скачанный троянец может загружать из интернета различные рекламные программы и запускать их на зараженном компьютере.
++++++++++++++++++++++++++++++++++++++++++++++++++
Virus.Win32. Cornad
Файловый вирус. Представляет собой Windows PE EXE-файл. Имеет размер 4096 байт. Имеет функцию копирования на диск A:.
Деструктивная активность
При запуске ищет файлы с расширением .exe в текущем каталоге, копирует имя файла и сохраняет исходный файл как .exe.acid, изменяя атрибуты файла на «скрытый» и «только для чтения». А непосредственно сам вирус копируется в файл с оригинальным именем заражаемого файла.
Также в корневом каталоге Windows вирус создает файл с именем CornishAcid.txt:
%Windir%\CornishAcid.txt
Данный файл имеет следующее содержание:
w32.CornishAcid-
Written on a fine thursday evening, by Kefi...
Just for something to do other than sit on my ass...)
Есливдисководвставленадискета, товирускопируетсянанеёвкорневуюдиректориювфайлсиме нем CornishAcid.exe.
Другиеназвания
Virus.Win32.Cornad («ЛабораторияКасперского») такжеизвестенкак: Win32.Cornad («ЛабораторияКасперского»), W32/Corn.cmp (McAfee), Trojan Horse (Symantec), Win32.Kefi.4096 (Doctor Web), W32/Corn-A (Sophos), Win32/Corn.A (RAV), PE_CORN.A (Trend Micro), W32/CornIsAcid.2 (H+BEDV), W32/Cacid.A (FRISK), Win32:Cornad (ALWIL), Win32/Cornish.A (Grisoft), Win32.HLLC.CornAcid.4096 (SOFTWIN), W32.Cacid.A (ClamAV), W32/Cornd.A (Panda), Win32/HLLC.Cidor.A (Eset)
++++++++++++++++++++++++++++++++++++++++++++++++++ +++++++
Virus.Win32. Bobep
Файловый вирус. Представляет собой Windows PE EXE-файл. Работает под операционной системой Windows 98.
Деструктивная активность
При запуске ищет файлы с расширением exe в текущем каталоге и в корневом каталоге Windows (%WinDir%), копирует имя файла и сохраняет исходный файл как .sys, а сам переименовывает себя в .exe.
Система продолжает работать до того момента пока не будет запущен один из зараженных файлов Windows. При перезагрузке или выключении компьютера, система зависнет и больше не загрузится.
Присутствует проверка на наличие запущенных антивирусов.
Вирус ищет следующие строки в заголовках окон:
AVP Monitor
FP-WIN
McAfee VShield
NAVAPW32
SCAN32
И если находит, то закрывает эти окна.
Содержит следующую строку:
Win32.Bebop coded by DiA ©2003 [GermanY]
Другие названия
Virus.Win32.Bobep («Лаборатория Касперского») также известен как: Win32.Bobep («Лаборатория Касперского»), W32/Bobep.cmp.a (McAfee), W32.Bopeb (Symantec), Win32.Bebop.8192 (Doctor Web), W32/Bobep-A (Sophos), Win32/Bobep.A (RAV), PE_BOBEP.A (Trend Micro), W32/Bebop.A (FRISK), Win32:Bobep (ALWIL), Win32/Bobep.A (Grisoft), Win32.Bobep.A (SOFTWIN), W32/Bobep.A (Panda), Win32/Bobep.A (Eset)
garikkirag
18.12.2007, 16:29
Троянская программа представляет собой модифицированный файл ОС Windows %System%\drivers\etc\hosts, который используется для перевода доменных имен (DNS) в IP-адреса. Размер измененного файла составляет 2189 байт.
Файл модифицирован таким образом, чтобы заблокировать обращения пользователя к некоторым сайтам (большинство из которых — сайты антивирусных компаний и сервера с обновлениями антивирусных баз).
В файл hosts добавлены следующие строки:
10.0.0.5 avp.com
10.0.0.5 kaspersky.com
10.0.0.5 kaspersky-labs.com
10.0.0.5 updates1.kaspersky.com
10.0.0.5 updates2.kaspersky.com
10.0.0.5 updates3.kaspersky.com
10.0.0.5 updates-us1.kaspersky.com
10.0.0.5 downloads1.kaspersky.com
10.0.0.5 downloads-us1.kaspersky.com
10.0.0.5 www.avp.com (http://www.avp.com)
10.0.0.5 www.kaspersky.com (http://www.kaspersky.com)
10.0.0.5 d-ru-1f.kaspersky-labs.com
10.0.0.5 d-ru-1h.kaspersky-labs.com
10.0.0.5 d-ru-2f.kaspersky-labs.com
10.0.0.5 d-ru-2h.kaspersky-labs.com
10.0.0.5 d-eu-2f.kaspersky-labs.com
10.0.0.5 d-eu-2h.kaspersky-labs.com
10.0.0.5 d-eu-1f.kaspersky-labs.com
10.0.0.5 d-eu-1h.kaspersky-labs.com
10.0.0.5 d-us-1f.kaspersky-labs.com
10.0.0.5 d-us-1h.kaspersky-labs.com
10.0.0.5 downloads1.kaspersky.ru
10.0.0.5 downloads2.kaspersky.ru
10.0.0.5 downloads3.kaspersky.ru
10.0.0.5 downloads4.kaspersky.ru
10.0.0.5 downloads5.kaspersky.ru
10.0.0.5 eset.com
10.0.0.5 www.eset.com (http://www.eset.com)
10.0.0.5 u2.eset.com
10.0.0.5 u3.eset.com
10.0.0.5 u4.eset.com
10.0.0.5 u7.eset.com
10.0.0.5 82.165.250.33
10.0.0.5 82.165.237.14
10.0.0.5 www.nod32.com (http://www.nod32.com)
10.0.0.5 nod32.com
10.0.0.5 eset.casablanca.cz
10.0.0.5 casablanca.cz
10.0.0.5 customer.symantec.com
10.0.0.5 liveupdate.symantec.com
10.0.0.5 liveupdate.symantecliveupdate.com
10.0.0.5 securityresponse.symantec.com
10.0.0.5 symantec.com
10.0.0.5 update.symantec.com
10.0.0.5 updates.symantec.com
10.0.0.5 www.symantec.com (http://www.symantec.com)
10.0.0.5 www.norton.com (http://www.norton.com)
10.0.0.5 norton.com
10.0.0.5 mast.mcafee.com
10.0.0.5 mcafee.com
10.0.0.5 rads.mcafee.com
10.0.0.5 www.mcafee.com (http://www.mcafee.com)
10.0.0.5 mcafee.com
10.0.0.5 us.mcafee.com
10.0.0.5 dispatch.mcafee.com
10.0.0.5 download.mcafee.com
10.0.0.5 metalhead2005.info
10.0.0.5 my-etrust.com
10.0.0.5 nai.com
10.0.0.5 networkassociates.com
10.0.0.5 secure.nai.com
10.0.0.5 sophos.com
10.0.0.5 trendmicro.com
10.0.0.5 viruslist.com
10.0.0.5 viruslist.com
10.0.0.5 www.ca.com (http://www.ca.com)
10.0.0.5 www.f-secure.com (http://www.f-secure.com)
10.0.0.5 www.microsoft.com (http://www.microsoft.com)
10.0.0.5 www.my-etrust.com (http://www.my-etrust.com)
10.0.0.5 www.nai.com (http://www.nai.com)
10.0.0.5 www.networkassociates.com (http://www.networkassociates.com)
10.0.0.5 www.sophos.com (http://www.sophos.com)
10.0.0.5 www.trendmicro.com (http://www.trendmicro.com)
10.0.0.5 www.viruslist.com (http://www.viruslist.com)
10.0.0.5 ca.com
10.0.0.5 d66.myleftnut.info
10.0.0.5 f-secure.com
Таким образом, все запросы к данным серверам будут заблокированы.
Все это — результат деятельности другой вредоносной программы.
Троянская программа, использующая спуфинг-технологию. Реализована в виде поддельной HTML-страницы. Предназначена для кражи конфиденциальной информации клиентов Washington Mutual Bank.
Рассылается по электронной почте под видом важного сообщения от WAMU.
В письме содержится ссылка, в которой использована уязвимость Frame Spoof в Internet Explorer.
Уязвимость Frame Spoof (MS04-004) присутствует в 5.x и 6.x версиях Microsoft Interner Explorer. Компанией Microsoft был опубликован специальный документ, в котором приведено описание данной уязвимости и даны рекомендации по распознаванию подобных ложных ссылок.
Попадая на сайт, пользователи вводят свои учетные данные, после чего они пересылаются злоумышленникам, и те могут получить полный доступ к управлению счетом пользователя.
Троянская программа-загрузчик, предназначенная для скачивания из интернета без ведома пользователя рекламной информации и ее отображения на экране зараженного компьютера.
Программа является приложением Windows (PE EXE-файл). Имеет размер 352256 байта. Написана на С++.
Деструктивная активность
После запуска троянец ждет соединения с интернетом, после чего выполняет следующие действия:
* отправляет информацию о времени установки троянского компонента на компьютер пользователя в зашифрованном виде на следующий URL:
www.clickspring.net/p***/ (http://www.clickspring.net/p***/).....
* скачивает в зашифрованном виде по HTTP-протоколу конфигурацию для работы по следующей ссылке:
campaigns.*****info.com/campaigns.encrypted
Скачанные данные сохраняются в файл campaigns.txt, который находится в кеше браузера Internet Explorer.
После этого троянец скачивает по HTTP-протоколу файлы из полученной конфигурации по следующей ссылке:
campaigns.*****info.com/campaigns.....
Файлы сохраняются в кеше веб-браузера Internet Explorer. Содержимое этих файлов — графическая информация в упакованном виде, имеющая рекламное содержание.
Данные из скачанных файлов троянец позже использует для показа пользователю всплывающих окон с рекламой.
Другие названия
Trojan-Downloader.Win32.PurityScan.d («Лаборатория Касперского») также известен как: TrojanDownloader.Win32.PurityScan.d («Лаборатория Касперского»), Trojan.ValueAd (Doctor Web), Troj/PurScan-D (Sophos), TrojanDownloader:Win32/PurityScan.D (RAV), TR/Dldr.PurityScn.D (H+BEDV), Win32:PurityScan-D (ALWIL), Downloader.Purityscan.K (Grisoft), Trojan.Dropper.Purityscan.I (ClamAV), Adware/PurityScan (Panda), Win32/TrojanDownloader.PurityScan.D (Eset)
Троянская программа, загружающая из интернета файлы без ведома пользователя.
Является приложением Windows (PE EXE-файл). Написана на языке Delphi. Размер зараженного файла — 187904 байта. Упакована UPX. Размер распакованного файла — около 500 КБ.
Деструктивная активность
Троянская программа состоит из двух файлов, первый из которых является исполняемым файлом (размер — около 16 КБ), а второй — его конструктором (размер – 187904 байта).
С помощью конструктора задаются параметры действий исполняемого файла, такие как путь к файлу, который необходимо скачать из интернета, имя файла и папка, в которую сохраняется скачанный файл.
После запуска исполняемого файла он скачивает ранее заданный злоумышленником файл из интернета и сохраняет его в заданную папку на локальном компьютере.
Другие названия
Trojan-Downloader.Win32.Akcom.10 («Лаборатория Касперского») также известен как: TrojanDownloader.Win32.Akcom.10 («Лаборатория Касперского»), Downloader.cfg (McAfee), Downloader.Trojan (Symantec), Trojan.Kcom (Doctor Web), Troj/WebDL (Sophos), TrojanDownloader:Win32/Aphex.0_20 (RAV), TROJ_AKCOM.10 (Trend Micro), Win32:Trojan-gen. (ALWIL), Downloader.Akcom (Grisoft), Trojan.Downloader.Akcom.10 (SOFTWIN), Trj/W32.Akcom (Panda), Win32/TrojanDownloader.Akcom.10 (Eset)
Троянская программа, позволяющая злоумышленнику удаленно выполнять операции на компьютере пользователя, выполняя управление по протоколу IRC.
Программа является динамической библиотекой Windows (PE DLL-файл). Написана на Visual C++. Размер файла — 43520 байт, ничем не упакован.
Бэкдор инсталлируется в систему при помощи другой вредоносной программы.
Деструктивная активность
Бэкдор пытается запустить следующие файлы:
%system%\nstask32.exe
%system%\tftp.exe
Предполагается, что они уже были загружены из сети при помощи другой вредоносной программы.
Бэкдор создает следующие ключи в системном реестре:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run][HKCU\Software\Microsoft\Windows\CurrentVersion\Run] "NDplDeamon"="nstask32.exe"
И изменяет следующее значение:
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] "shell"="explorer.exe nstask32.exe"
Бэкдор открывает произвольный порт зараженного компьютера, после чего соединяется с удаленным IRC-сервером. После чего подсоединяется к специальному IRC-каналу, по которому получает команды от злоумышленника. По команде бэкдор может выполнять следующие действия:
* сканировать сеть в поисках машин, подверженных некоторым популярным уязвимостям;
* копировать и запускать себя на уязвимых машинах;
* запускать HTTP- и TFTP-сервера;
* создавать и менять значения ключей в реестре;
* загружать, выгружать и запускать файлы;
* открывать командную оболочку (cmd);
* считывать системную информацию;
* сканировать клавиатурные нажатия;
* совершать DoS-атаки;
* сканировать IP адреса и порты;
* перехватывать пакеты ICMP, FTP, IRC;
* создавать SYN- и ICMP-флуд;
* открывать TCP- и UDP-порты;
* посылать TCP- и UDP-пакеты.
Другие названия
Backdoor.Win32.SdBot.at («Лаборатория Касперского») также известен как: Backdoor.SdBot.at («Лаборатория Касперского»), W32/Spybot.worm.dll (McAfee), W32.Randex.E (Symantec), Win32.HLLW.LoveSan.based (Doctor Web), W32/RpcSdbot-A (Sophos), Win32/HLLW.SpyBot (RAV), WORM_RANDEX.R (Trend Micro), Worm/Sdbot.39936.B (H+BEDV), Win32:RPCexploit (ALWIL), IRC/BackDoor.SdBot.MJ (Grisoft), Backdoor.SDBot.40B56FB5 (SOFTWIN), Exploit.DCOM.Gen (ClamAV), Bck/SdBot (Panda), Win32/IRC.SdBot.AV (Eset)
lastmylove
22.02.2008, 08:57
Червь W32.Korron.A
Признаки
При запуске создает следующие файлы:
* %UserProfile%\Local Settings\Application Data\WINDOWS\Puisiku.txt
* %UserProfile%\Local Settings\Application Data\WINDOWS\SERVICES.EXE
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\Startup\Local Settings\Application Data\WINDOWS\WINLOGON.EXE
* C:\Documents and Settings\All Users\Start Menu\Programs\Startup\Empty.pif
* %System%\IExplorer.exe
* %System%\MrHello.scr
* %System%\shell.exe
* %Windir%\msvbvm60.dll
* %Windir%\r0nk0r.exe
* %Windir%\r0nk0r.vbs.jpg
* %Windir%\Setup.exe
* %SystemDrive%\Puisiku.txt
* %SystemDrive%\r0nk0r\Folder.htt
* %SystemDrive%\r0nk0r\Poto wow.exe
* %SystemDrive%\r0nk0r.exe
Копирует себя на все локальные, съемные и сетевые диски, которым присвоена буква: создает в корне файлы "Data Administrator.exe" и "desktop.ini".
Обеспечивает себе автозагрузку при старте Windows и при открытии ряда файлов. Для этого делает в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"LoggonAdministrator" = "%SystemDrive%\Documents and Settings\Administrator\Local Settings\Application Data\WINDOWS\WINLOGON.EXE"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Sysmontrng" = "C:\Documents and Settings\Administrator\Local Settings\Application Data\WINDOWS\SERVICE.EXE"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"r0nk0r" = "C:\WINDOWS\r0nk0r.exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"MSMSGS" = "C:\Documents and Settings\Administrator\Local Settings\Application Data\WINDOWS\WINLOGON.EXE"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"ServiceAdministrator" = "C:\Documents and Settings\Administrator\Local Settings\Application Data\WINDOWS\SERVICES.EXE"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\lnkfile\shell\ open\command\"(default)" = ""C:\WINDOWS\system32\shell.exe" "%1" %*"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\docfile\shell\ open\command\"(default)" = ""C:\WINDOWS\system32\shell.exe" "%1" %*"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\xlsfile\shell\ open\command\"(default)" = ""C:\WINDOWS\system32\shell.exe" "%1" %*"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "C:\WINDOWS\system32\userinit.exe,"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system 32\IExplorer.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "Explorer.exe "C:\WINDOWS\system32\IExplorer.exe""
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile\shell\ open\command\"(default)" = ""C:\WINDOWS\system32\shell.exe" "%1" %*"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile\shell\ open\command\"(default)" = ""C:\WINDOWS\system32\shell.exe" "%1" %*"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\"(default)" = "File Folder"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\ open\command\"(default)" = ""C:\WINDOWS\system32\shell.exe" "%1" %*"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\piffile\shell\ open\command\"(default)" = ""C:\WINDOWS\system32\shell.exe" "%1" %*"
Создает в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Installer\"LimitSystemRestoreCheckpointing" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Installer\"DisableMSI" = "1"
* HKEY_CURRENT_USER\Control Panel\Desktop\"SCRNSAVE.EXE" = "C:\WINDOWS\system32\MRHELL~1.SCR"
* HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT\SystemRestore\"DisableConfig" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT\SystemRestore\"DisableSR" = "1"
Модифицирует следующие записи реестра (указаны новые значения ключей):
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug\"Auto" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug\"Debugger" = ""C:\WINDOWS\system32\Shell.exe""
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Sa feBoot\"AlternateShell" = "C:\WINDOWS\r0nk0r.exe"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\"AlternateShell" = "C:\WINDOWS\r0nk0r.exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoFolderOptions" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableCMD" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\"NoFolderOptions" = "1"
Завершает процессы, содержащие в названии следующие строки:
* AN'SAV
* ANSAV
* ANTI
* ASM
* AVS
* BUG
* DBG
* DETEC
* HEX
* NOD32
* OPTIONS
* PCMAV
* PROC
* REG
* S M A D A V
* SCAN
* SCANNER
* SECURITY
* SMADAV
* TASK
* VIRUS
* W32
* WALK
Может попытаться открыть на захваченном компьютере созданный им текстовый файл:
* %UserProfile%\Local Settings\Application Data\WINDOWS\Puisiku.txt
Файл содержит следующий текст:
Maaf
================================================
Maaf
Apa yang kulakukan tak dapat kumaafkan
Benar[УДАЛЕНО]r.a
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски, включая съемные. Снижает уровень защищенности системы.
источник: Symantec.com
lastmylove
22.02.2008, 08:58
Червь W32.Joydotto
Признаки
При запуске создает следующие файлы:
* C:\Documents and Settings\All Users\Start Menu\Programs\Startup\Explorer.exe
* %Windir%\system.exe
Копирует себя на все диски: в корне создает свою копию под именем auto.exe и файл автозапуска AUTORUN.INF.
Через реестр обеспечивает себе автозагрузку при каждом запуске Windows:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "Explorer.exe, System"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "C:\WINDOWS\system32\userinit.exe, System"
Создает следующие записи в реестре:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Bkav2006.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCAPP.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EGHOST.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FireTray.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IEProt.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPLUS.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVCenter.kxp.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVFW.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVOL.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXp_1.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWATCHUI.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Kav.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KavPFW.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KpopMon.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Kvsrvxp.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MAILMON.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MCAGENT.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MCVSESCN.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MSKAGENT.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Nvsvc32.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RAVMON.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RAVTIMER.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RRfwMain.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavService.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RfwMain.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rtvscan.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SHSTAT.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TBMon.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpdaterUI.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VPTray.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bdagent.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bdss.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\far.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\icesword.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kav32.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kavstart.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kavsvc.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvolself.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvwsc.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\livesrv.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vsserv.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\worm2007.exe\"Debugger" = "system.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\xcommsvr.exe\"Debugger" = "system.exe"
Заменяет стартовые URL для Yahoo! Messenger:
* HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_ Launchcast\"content url" = "myebuddy.com"
* HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_ buzz\"content url" = "myebuddy.com"
Отключает "Редактор реестра" и "Диспетчер задач":
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableRegistryTools" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableTaskMgr" = "1"
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\System\"DisableRegistryTools" = "1"
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\System\"DisableTaskMgr" = "1"
Через реестр отключает ряд настроек "Проводника" и другие настройки, для сокрытия своего присутствия в системе:
* HKEY_CURRENT_USER\Software\Microsoft\Command Processor\"EnableExtensions" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "myebuddy.com"
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\"PopupMgr" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2\{282f98e4-c1d2-11db-8515-806d6172696f}\"BaseClass" = "Drive"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2\{56999cec-3c1d-11db-a335-806d6172696f}\"BaseClass" = "Drive"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2\{56999cef-3c1d-11db-a335-806d6172696f}\"BaseClass" = "Drive"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoDriveTypeAutoRun" = "91"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoFolderOptions" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NoRun" = "1"
* HKEY_CURRENT_USER\Software\Policies\Microsoft\Inte rnet Explorer\Control Panel\"Homepage" = "1"
* HKEY_CURRENT_USER\software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "2"
* HKEY_CURRENT_USER\software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
* HKEY_CURRENT_USER\software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden\SHOWALL \"CheckedValue" = "0"
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Explorer\Shell Folders\"Common Startup" = "C:\Documents and Settings\All Users\Start Menu\Programs\Startup"
Пытается обновить себя через http, подключаясь к следующим URL:
* [http://]72.232.141.84/~cgitnet/ledads/Change[???]
* [http://]206.221.179.205/~ampedmed/Forums/templates/xand/upgra[???]
* [http://]72.232.208.150/~aryacdc/images/toc[???]
* [http://]72.232.108.82/~grimsby/images/butto[???]
* [http://]216.246.30.66/~mkshost/forums/templates/subSilver/upgra[???]
* [http://]72.232.141.84/~cgitnet/ledads/Change[???]
* [http://]206.221.179.205/~ampedmed/Forums/templates/xand/upgra[???]
* [http://]72.232.208.150/~aryacdc/images/toc[???]
* [http://]72.232.108.82/~grimsby/images/butto[???]
Ведет удаленную статистику заражений, обращаясь к следующему URL:
* [http://]70.86.197.82/~ohnishi/ranking/test[???]
Рассылает ссылки на себя через Yahoo! Instant Messenger:
* [http://]72.232.141.84/~cgitnet/ledads/Change[???]
* [http://]216.246.30.66/~mkshost/forums/templates/subSilver/upgra[???]
* [http://]206.221.179.205/~ampedmed/Forums/templates/xand/upgra[???]
* [http://]72.232.208.150/~aryacdc/images/toc[???]
* [http://]72.232.108.82/~grimsby/images/butto[???]
* [http://]216.246.30.66/~mkshost/forums/templates/subSilver/upgra[???]
Завершает процессы, содержащие следующие строки:
* BITDEFENDER
* BKAV
* ccEvtMgr
* ccProxy
* ccSetMgr
* D32
* Duba
* FireSvc
* GOOGLE.COM
* IceSword
* KPfwSvc
* KVSrvXP
* KVWSC
* McAfeeFramework
* McShield
* McTaskManager
* msctls_statusbar32
* MskService
* navapsvc
* NOD32
* NPFMntor
* RsCCenter
* RsRavMon
* Schedule
* sharedaccess
* SNDSrvc
* SPBBCSvc
* Symantec AntiVirus
* Symantec Core LC
* System Safety Monitor
* VirusScan
* Wrapped gift Killer
* wscsvc
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием на все диски и рассылкой через Yahoo! Instant Messenger.
Загружает дополнительный вредоносный код; прерывает антивирусные процессы.
источник: Symantec.com
lastmylove
22.02.2008, 08:58
Червь Wow.SI
Признаки
При запуске открывает окно "Проводника", отображающее содержимое корня диска C:.
Подавляет предупреждения антивирусов Касперского. Ищет окна с именами "AVP.AlertDialog" и "AVP.Product_Notification" и закрывает их. Также завершает ряд процессов, принадлежащих другим антивирусам и инструментам защиты.
Периодически загружает с веб-сайта обновления.
При запуске создает следующие файлы в системной директории Windows (далее %sysdir%):
* AVMO.EXE и AVPO.EXE - копии червя
* AVPO0.DLL - загружает файл с обновлением червя
* WINCAB.SYS - руткит
Первым трем файлам присваиваются атрибуты "системный" и "скрытый". Через реестр червь отключает отображение файлов таких типов в "Проводнике", что затрудняет их визуальное обнаружение:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ "" = 00000002
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ "" = 00000000
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ Folder\ Hidden\ SHOWALL \ "" = 00000000
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ "" = 00000091
Через реестр обеспечивает себе автозагрузку при каждом старте системы:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ "" = %sysdir%\avpo.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ "" = %sysdir%\amvo.exe
Также создает следующую запись в реестре:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Classes\ CLSID\ MADOWN \ "" = maver8m9
Регистрирует для руткита два сервиса (XSWEDFTG и ZXSDERFBUKJFYSHLHFRST) с автоматическим запуском:
* HKEY_LOCAL_MACHINE\ Registry\ Machine\ System\ CurrentControlSet\ Services\ xswedftg
* HKEY_LOCAL_MACHINE \ Registry\ Machine\ System\ CurrentControlSet\ Services\ zxsderfbukjfyshlhdfrst
Распространяется копированием себя на все диски, подключенные к системе. В корне каждого диска создает файл autorun.inf, обеспечивающий запуск при каждом подключении диска к системе.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Основное предназначение - хищение паролей к онлайн-играм (World of Warcraft, Lineage). Пытается завершить процессы, принадлежащие защитным приложениям. Использует руткит для сокрытия своего присутствия в системе. Распространяется копированием себя на все диски.
источник: PandaSecurity.com
lastmylove
22.02.2008, 08:59
Червь Chike.B
Признаки
При запуске создает свои копии:
* CHICKIE.EXE - в поддиректории inf директории Windows (далее %windir%)
* SVCHOST.EXE
* _FICHIERS.EXE и _SAVES.EXE - на съемных дисках
Через реестр обеспечивает себе автозагрузку при каждом запуске Windows:
* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ chiCkie = %windir%\inf\chiCkie.exe
* HKEY_ALL_USERS\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ "I just want to say I love Milko and I need a drink" = %user profiles%\Local Settings\Application Data\ svchost.exe
Отключает "Редактор реестра", "Восстановление системы", опцию "Завершить работу" в меню "Пуск", "Поиск" в меню "Пуск", пункт "Запуск" в меню "Пуск", опцию "Свойства папки" в "Проводнике", запрещает изменения в меню "Пуск":
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableRegistryTools = 01, 00, 00, 00
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Policies\ Microsoft\ Windows NT\ SystemRestore \ Disable SR = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ StartMenuLogOff = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFind = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoRun = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFolderOptions = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\Explorer \ NoSetFolders = 1
Написан на языке Delphi.
ЗАЩИТА
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на съемные и сетевые диски.
Поступает на компьютер в виде исполняемого файла с иконкой, идентичной иконке папки.
источник: PandaSecurity.com
lastmylove
22.02.2008, 08:59
Червь Lineage.HIT
Признаки
При запуске создает свою копию в системной директории Windows (%sysdir%) под именем AVMO.EXE и библиотеку, отвечающую за загрузку обновлений - AVPO0.DLL.
Также копирует себя в корень всех дисков, которым присвоена буква. Там же создает файл autorun.inf, обеспечивающий автозагрузку при подключении диска к системе.
Обеспечивает себе автозагрузку при старте Windows. Делает в реестре следующую запись:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ amva = %sysdir%\amvo.exe
Через реестр отключает отображение скрытых и системных файлов, а также файлов операционной системы.
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ Hidden = 00, 00, 00, 00 HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ ShowSuperHidden = 00, 00, 00, 00
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Предназначен для кражи паролей к онлайн-играм: Lineage: Lands of Aden, World of Warcraft, Maple Story, Legend of Mir.
Распространяется копированием себя на все диски; загружает свои обновления с веб-сайта атакующего.
источник: PandaSecurity.com
lastmylove
22.02.2008, 09:00
Червь Dung.A
Признаки
При старте создает следующие файлы:
* DC.EXE и SVIQ.EXE - в директории Windows (далее %windir%)
* OTHER.EXE - в поддиректории Help директории Windows
* FUN.EXE - в системной директории Windows (далее %sysdir%)
* WINSIT.EXE - в системной директории Windows
* WIN.EXE - в поддиректории config системной директории Windows
* XPEN.DAT - в системной директории Windows
В реестре создает следующие записи, обеспечивающие запуск червя при каждой загрузке Windows:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ Fun = %windir%\system\Fun.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ dc = %windir%\dc.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ dc2k5 = %windir%\SVIQ.EXE
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows NT\ CurrentVersion\ Windows \ run = %sysdir%\config\Win.exe
Изменяет параметры загрузки оболочки Explorer.exe, дописывая ссылку на себя (также для автозагрузки):
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \ Shell = Explorer.exe, %sysdir%\Winsit.exe
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Windows \ load = %windir%\inf\Other.exe
Исполняемый файл имеет стандартную иконку папки.
Через Yahoo! Messenger рассылает себя в случае, если данный IM-клиент установлен на компьютере и запущен. Рассылает себя по списку контактов всем, кто находится в онлайне, сопровождая файл сообщением. Одно из сообщений: Olalala, may tinh cua ban da dinh Worm DungCoi
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски и рассылкой копий через Yahoo! Messenger.
Открывает произвольный порт, ожидает инструкций, в частности, на отправку данных о системе и загрузку дополнительных модулей с заданного URI.
источник: PandaSecurity.com
lastmylove
22.02.2008, 09:01
Червь ManClick.A
Признаки
При старте открывает несколько окон Internet Explorer и загружает подставные сайты, имитирующие Google. В частности, http://clic[???]anu.com.
Среди результатов поиска данные сайты могут выдавать результаты, ведущие на троянские сайты для загрузки дополнительного вредоносного кода.
Через реестр отключает "Редактор реестра", "Диспетчер задач", опцию "Свойства папки" в "Проводнике", доступ к консоли (cmd.exe), опцию "Поиск" в меню "Пуск". Подменяет стартовую страницу Internet Explorer, отключает возможность загрузки в "Безопасном режиме". Предотвращает запуск ряда антивирусных и защитных приложений.
При старте создает следующие файлы:
* C:\AUTO.EXE
* SYSTEM.EXE - в директории Windows (далее %windir%)
* EXPLORER.EXE - в папке Автозагрузки (таким образом запускается при каждом старте Windows)
* C:\AUTORUN.INF
Для выполнения вышеуказанных действий по отключению и изменению настроек системы, делает в реестре следующие записи:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableRegistryTools = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableTaskMgr = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableCMD = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFind = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFolderOptions = 1
Создает/модифицирует следующие записи реестра, если в системе установлен Yahoo! Messenger:
* HKEY_CURRENT_USER\ Software\ Yahoo\ pager\ View\ YMSGR_buzz \ content url = %сайт_атакующего%
* HKEY_CURRENT_USER\ Software\ Yahoo\ pager\ View\ YMSGR_Launchcast \ content url = %сайт_атакующего%
Создает в разделе реестра HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\Windows NT\ CurrentVersion\ Image File Execution Options записи, предотвращающие запуск следующих файлов защитных приложений:
* bdagent.exe
* bdss.exe
* Bkav2006.exe
* CCAPP.exe
* CCenter.exe
* cmd.exe
* EGHOST.exe
* far.exe
* FireTray.exe
* icesword.exe
* IEProt.exe
* Iparmor.exe
* Kav.exe
* kav32.exe
* KavPFW.exe
* KAVPLUS.exe
* kavstart.exe
* kavsvc.exe
* KpopMon.exe
* KRegEx.exe
* KVCenter.kxp.exe
* KVFW.exe
* KVMonXP.exe
* KVOL.exe
* kvolself.exe
* Kvsrvxp.exe
* KVSrvXp_1.exe
* kvwsc.exe
* KWATCHUI.exe
* livesrv.exe
* MAILMON.exe
* MCAGENT.exe
* MCVSESCN.exe
* MSKAGENT.exe
* Nvsvc32.exe
* PFW.exe
* RAVMON.exe
* RavMonD.exe
* RavService.exe
* RavTask.exe
* RAVTIMER.exe
* RfwMain.exe
* RRfwMain.exe
* Rtvscan.exe
* SHSTAT.exe
* TBMon.exe
* TrojDie.kxp.exe
* UpdaterUI.exe
* VPTray.exe
* vsserv.exe
* worm2007.exe
* xcommsvr.exe
Через реестр обеспечивает себе автозагрузку при каждом старте системы:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \ Shell = Explorer.exe, System
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \ Userinit = %sysdir%\userinit.exe, System
Через реестр заменяет стартовую страницу Internet Explorer:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main \ Start Page = http://clic[???]anu.com
Удаляет из реестра записи, отвечающие за загрузку системы в "Безопасном режиме":
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ SafeBoot\ Minimal\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ SafeBoot\ Network\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
* HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Minimal\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
* HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Network\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
Иконка исполняемого файла идентична иконке папки.
Распространяется, копируя себя на все диски и сопровождая свою копию файлом autorun.inf, который обеспечивает запуск червя при подключении диска к системе.
Сжат UPX.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Перенаправляет трафик Google на подставной сайт, идентичный по дизайну. Распространяется копированием на все диски.
Легко распознается визуально: при запуске открывает несколько окон Internet Explorer, в которые загружает подставные сайты Google.
источник: PandaSecurity.com
lastmylove
22.02.2008, 09:01
Червь Ressentment.A
Признаки
При запуске пытается запустить бинарный файл winapp32, что приводит к выводу сообщения об отсутствии ассоциации системы с данным расширением файла, и файл открывается в "Блокноте".
Добавляет в пункт контекстного меню Windows "Send to" подпункт "Carpeta comprimida (en ZIP)". Такая опция уже существует в данном пункте меню и называется "Compressed (zipped) Folder". При выборе пользователем опции "Carpeta comprimida (en ZIP)", активируется копия червя.
Заменяет заголовок браузера IE "Microsoft Internet Explorer" на "ELI Corportation LaBs 2007". Заменяет стартовую страницу Internet Explorer на "C"\Windows\System32\error.htm" - файл, имитирующий сообщение браузера об ошибке открытия страницы на испанском языке. На странице имеется кнопка "Actualizar" ("Обновить", испанский), при нажатии которой червь пытается отправить письмо по определённому адресу с сообщением о том, что двое сотрудников определённой компании должны быть уволены.
При запуске создает следующие файлы:
* FOLDER32.EXE - в системной директории Windows, копия червя
* MI MUSICA.EXE и MIS IMAGENES.EXE - в директории "Мои документы", копия червя
* CARPETA COMPRIMIDA (EN ZIP).EXE - в поддиректории "SendTo" директории "Documents and Settings" текущего пользователя, копия червя
* ERROR.HTM - в системной директории Windows
* Файлы с именами из 8 случайных символов с расширениями EXE, BAT, COM, PIF и SCR в директории Windows и системной директории Windows
Обеспечивает себе автозагрузку, делая в реестре следующие записи:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ Folder32 = %sysdir%\folder32.exe
Для замены заголовка окна Internet Explorer делает в реестре запись:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main \ Window Title = ELI Corportation LaBs 2007
Записывает в реестр признак заражения компьютера:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ CETEC \ WormVersion = 1.0
Модифицирует стартовую страницу Internet Explorer (через реестр):
* HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main \ Start Page = file:///%sysdir%\error.htm
Распространяется копированием себя на все диски, записывая в корень два файла - SYSTEMVOLUMEINFORMATION.EXE и файл автозапуска AUTORUN.INF.
Написан на языке Visual Basic 6.0.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски. Иконка червя идентична иконке папки Windows.
Заменяет заголовок браузера IE "Microsoft Internet Explorer" на "ELI Corportation LaBs 2007". Заменяет стартовую страницу Internet Explorer на "C"\Windows\System32\error.htm" - файл, имитирующий сообщение браузера об ошибке открытия страницы на испанском языке.
Пытается отправить письмо на определенный адрес с текстом о том, что двое сотрудников определенной компании должны быть уволены.
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:05
Червь Nuwar.QI
Признаки
При запуске создает следующие файлы:
* DIPERTO????-????.SYS - руткит Rootkit/Nuwar.QJ (? - случайный символ)
* DIPERTO.INI - файл со списком процессов, IP-адресом и другими данными, собранными червем
Регистрируется как сервис с автоматическим режимом запуска при старте Windows.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows, приуроченный ко Дню Святого Валентина (14 февраля). Распространяется по электронной почте по адресам из "Адресной книги" Windows. Письмо с темой "I Love You", "Me & You", "My Love For You", "Happy Valentine's Day" или "Valentine's Day" содержит ссылку на сайт, где содержится изображение на тему праздника. По щелчку на изображение загружается файл VALENTINE.EXE, являющийся копией червя.
Для сокрытия себя в системе использует руткит Rootkit/Nuwar.QJ.
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:06
Червь W32.Spybot.AVEN
Признаки
При запуске создает свою копию в системной директории Windows (далее %System) под названием winbot.exe.
Обеспечивает себе автозагрузку при каждом запуске системы. Для этого вносит в реестр следующие записи:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"YahooServices" = "57 00 49 00 4E 00 42 00 4F 00 54 00 2E 00 45 00 58 00 45 00 00 00 63 00 30 00 6B 00 65 00 68 00 65 00 61 00 64 00 00 00 23 00 23 00 63 00 30 00 6B 00 65 00 00 00 34 00 32 00 30 00 00 00 00 00 02 00 00 00 00 00 00 00 59 00 61 00 68 00 6F 00 6F 00 53 00 65 00 72 00 76 00 69 00 63 00 65 00 73 00 00 00 00 00 00 00 09 00 00 00 00 00 00 00 59 00 61 00 68 00 6F 00 6F 00 53 00 76 00 63 00 73 00 74 00 72 00 74 00 65 00 72 00 00 00 74 00 47 00 62 00 6F 00 74 00 20 00 6E 00 74 00 20 00 79 00 61 00 68 00 6F 00 6F 00 00 00 70 00 61 00 79 00 2E 00 64 00 61 00 74 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 D0 00 07 00 00 00 00 00 6E 00 69 00 67 00 67 00 61 00 61 00 00 00 00 00 F6 00 DC 02 45 00 00 00 E6 00 DC 02 45 00 00 00 00 00 00 00 00 00 00 00 0B 00 1A 00 00 00"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"YahooServices" = "57 00 49 00 4E 00 42 00 4F 00 54 00 2E 00 45 00 58 00 45 00 00 00 63 00 30 00 6B 00 65 00 68 00 65 00 61 00 64 00 00 00 23 00 23 00 63 00 30 00 6B 00 65 00 00 00 34 00 32 00 30 00 00 00 00 00 02 00 00 00 00 00 00 00 59 00 61 00 68 00 6F 00 6F 00 53 00 65 00 72 00 76 00 69 00 63 00 65 00 73 00 00 00 00 00 00 00 09 00 00 00 00 00 00 00 59 00 61 00 68 00 6F 00 6F 00 53 00 76 00 63 00 73 00 74 00 72 00 74 00 65 00 72 00 00 00 74 00 47 00 62 00 6F 00 74 00 20 00 6E 00 74 00 20 00 79 00 61 00 68 00 6F 00 6F 00 00 00 70 00 61 00 79 00 2E 00 64 00 61 00 74 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 D0 00 07 00 00 00 00 00 6E 00 69 00 67 00 67 00 61 00 61 00 00 00 00 00 F6 00 DC 02 45 00 00 00 E6 00 DC 02 45 00 00 00 00 00 00 00 00 00 00 00 0B 00 1A 00 00 00"
Пытается подключиться к IRC-серверам irc.w33d561.com и server27.bounceme.net.
Пытается отключить процессы, принадлежащие антивирусам Norton, Microsoft и Kaspersky.
Может похищать с захваченного компьютера данные об учетной записи, пароли, серийный номер AIM (AOL Instant Messenger), ключ Windows, реквизиты доступа к AOL, ключи к HalfLife и Counterstrike.
Данная информация может быть получена атакующим при помощи IRC-команд.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на внешние сетевые ресурсы, незащищенные паролем на запись, или защищенные слабым паролем. Крадет конфиденциальную информацию с захваченного компьютера, открывает в системе "черный ход".
источник: Symantec.com
lastmylove
26.02.2008, 08:06
Червь W32.Gampxia
Признаки
При запуске создает следующие файлы:
* C:\WINDOWS\Temp\svchost.exe
* C:\Documents and Settings\All Users\[Kaishi Caidan]\[Chengxu]\[Qidong]\svchost.exe
Вышеуказанные файлы создаются только на версиях Windows, локализованных под упрощенную китайскую кодировку (Simplified Chinese).
Для всех версий Windows создает следующие файлы:
* C:\WINDOWS\cs.txt (чистый файл)
* C:\WINDOWS\Temp\Url.txt (файл конфигурации, содержимое которого получает потом из интернета)
* C:\WINDOWS\Temp\winpcap.exe (программа WinPcap)
* C:\WINDOWS\Temp\arp.exe (копия Hacktool)
(Замечание: неизвестно, является ли arp.exe хакерским инструментом (Hacktool), либо это стандартная утилита Windows для работы с адресными таблицами)
Копирует себя на все диски в корень под именем svchost.exe; там же создает файл autorun.inf, содержащий команду "open=svchost.exe". Таким образом червь запускается при подключении диска к системе.
Заменяет своей копией исполняемый файл Диспетчера задач (taskmgr.exe в системной директории Windows).
Удаляет в реестре подключ:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Network
Устанавливает системное время на 1 декабря 1989 года, что позволяет запретить сканирование системы некоторыми антивирусами от Kaspersky.
Загружает Infostealer.Gampass, троян, крадущий реквизиты доступа к игровым серверам, с URL [http://]www.balbv.cn/xz/12387617/log[???].
Копия Hacktool загружается с URL [http://]www.balbv.cn/xz/12387617/arp.exe.
WinPCap загружается с URL [http://]www.balbv.cn/xz/12387617/winpcap.exe
Пытается распространяться через сетевой ресурс \C$\, копируя туда файлы Setup.exe и или AutoExec.bat.
Отправляет атакующему оповещение о захвате компьютера, включая информацию об антивирусных приложениях, работающих в системе, по следующему URL: [http://]www.sitama.cn/lin[???]
Удаляет все файлы с расширением .gho на дисках D:, E: и F:.
Внедряет код в файлы с расширениями .jsp, .html, .htm, .aspx, .asp и .php на дисках D:, E: и F:. Данные "зараженные" файлы определяются антивирусами Symantec как W32.Gampxia!html.
Закрывает окна, относящиеся к антивирусным приложениям, по их именам:
* NOD32
* Rising (на китайском)
* Jiangmin (на китайском)
* Kaspersky (на китайском)
* Kingsoft (на китайском)
Завершает процессы 360tray.exe и 360safe.exe.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием на все диски, включая съемные и сетевые. Загружает на компьютер копии Infostealer.Gampass, Hacktool и библиотеку перехвата трафика WinPCap.
Внедряет в HTML-файлы код обращения к сайту атакующего.
Устанавливает системное время в 1 декабря 1989 г.
источник: Symantec.com
lastmylove
26.02.2008, 08:07
Червь W32.Imaut.CO
Признаки
При запуске создает следующие файлы:
* %Windir%\True_Love.exe
* %Windir%\MsRun32.exe
* %System%\True_Love.exe
* %System%\MsRun32.exe
* %System%\autorun.ini
* %System%\yahoomsgs.ini
(%Windir% - директория, в которую установлена Windows, %System% - системная директория Windows.)
Копирует себя в корень всех съемных и сетевых дисков под именами True_love.exe и MsRun32.exe. Там же создает файл автозапуска autorun.inf, обеспечивающий запуск червя при подключении диска к системе.
Также копирует себя на все съемные диски под именами директорий, существующих в корне диска, с расширением .exe. Пользователь может перепутать их в "Проводнике" и запустить копию червя вместо открытия директории.
Обеспечивает себе автозагрузку при каждом запуске системы. Для этого создает и модифицирует в реестре следующие записи соответственно:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"MSN Messengger" = "%System%\MsRun32.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "Explorer.exe MsRun32.exe"
Через реестр отключает "Редактор реестра" и "Диспетчер задач":
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableTaskMgr" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableRegistryTools" = "1"
Модифицирует также следующие записи в реестре:
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\Hidden\SHOWALL \"CheckedValue" = "0 "
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\"NofolderOptions" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\WorkgroupCrawler\Shares\"shared" = "%DriveLetter%\True_Love.exe"
Завершает процессы со следующими именами:
* cmd.exe
* Registry
* System Configuration
* Windows Task
Каждый час пытается обновлять себя.
Каждые полчаса пытается распространяться через Yahoo! Messenger, отправляя ссылку на свою копию по списку контактов пользователя, находящихся в режиме онлайн.
Ссылка [URL] отправляется с одним из следующих сообщений:
* Ha ha ha click on link to laugh ... [URL]
* what a joke ...... [URL]
* nice one see this .... [URL]
* what a joke .....click to see [URL]
* what a joke ...... [URL]
* nice to listen .......... [URL]
* what is this ? ......see [URL]
* i am busy you click on a link and see ... [URL]
* what is this ? ...... see [URL]
[URL] - ссылка [http://]tinyurl.com/2n[???]
Одно из сообщений, содержащих ссылку, выставляет в статус доступности текущего пользователя.
URL перенаправляет пользователя на вредоносный сайт, содержащий архив Santa-Banta-Joke-Flash-2008.zip, содержащий копию червя под именем "Read Joke.doc.exe".
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на съемные диски и рассылкой URL своей копии через Yahoo! Messenger.
источник: Symantec.com
lastmylove
26.02.2008, 08:19
Trojan.Bankpatch.B
Признаки
При запуске создает файл-программу %Temp%\me.log. При запуске эта программа получает привилегии процесса WINLOGON.EXE.
Заражает следующие файлы:
* %System%\ws2_32.dll
* %System%\wininet.dll
* %System%\dllcache\ws2_32.dll
* %System%\dllcache\wininet.dll
Файлы увеличиваются в размере на 4 КБ за счет shell-кода, добавленного в конец.
В процессе заражения создаются следующие файлы:
* %System%\oldwn.tmp (копия wininet.dll)
* %System%\oldws.tmp (копия ws2_32.dll)
* %System%\newwn.tmp (зараженная копия wininet.dll)
* %System%\newws.tmp (зараженная копия ws2_32.dll)
* %System%\winrc.tmp (копия wininet.dll)
* %System%\wsrec.tmp (копия ws2_32.dll)
В зараженной копии ws2_32.dll установлен патч для API-функции connect(), запрещающий подключаться к IP-адресу 216.143.70.75.
В зараженной копии wininet.dll установлен патч на API-функцию InternetConnectA(), запрещающий соединение со следующими доменными именами:
* avp.com
* kaspersky.com
* eset.com
* nod32.com
* eset.casablanca.cz
* casablanca.cz
* symantec.com
* norton.com
* mcafee.com
* metalhead2005.info
* my-etrust.com
* nai.com
* pla-update.nai.com
* networkassociates.com
* secure.nai.com
* sophos.com
* trendmicro.com
* viruslist.com
* www.ca.com
* microsoft.com
* my-etrust.com
* networkassociates.com
* sophos.com
* trendmicro.com
* viruslist.com
* d66.myleftnut.info
* f-secure.com
* liveupdate.symantecliveupdate.com
Через 24 часа после внедрения перезагружает компьютер.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Отключает доступ к сайтам обновлений антивирусных программ, модифицирует системные файлы, через 24 часа после внедрения в систему перезагружает компьютер.
источник: Symantec.com
lastmylove
26.02.2008, 08:22
Yahmail.A
Признаки
Активен в памяти, ждет запуска Yahoo Messenger, перехватывает реквизиты доступа, отправляет их на сайт www.ilam-m[???]d-makers.com.
Создает свои копии под одним из следующих имен:
* SERVICES.EXE
* LSASS.EXE
* SMASS.EXE
* CSRSS.EXE
* WINLOGON.EXE
После создания копии создает директорию с тем же именем, которое было у оригинального зараженного файла, в директории, из которой был запущен.
Создает в реестре следующую запись:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Winlogon \ Shell = %TempRoot%\[file_name].exe
(Примечание: %TempRoot% - временная директория, которую создает троян, а [file_name].exe - имя файла, заразившего компьютер. Таким образом троян обеспечивает себе автозапуск при старте Windows.
Модифицирует записи реестра, отключая отображение системных файлов и расширений файлов в "Проводнике":
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Explorer\Advanced \ ShowSuperHidden = 0
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Explorer\Advanced \ HideFileExt = 1
Псевдоним: Infostealer.Yahmail.
Написан на языке Visual C ++ 6.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Крадет реквизиты доступа к Yahoo Messenger и отправляет их на сайт атакующего.
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:23
Banker.KDW
Признаки
При запуске создает следующие файлы в системной директории Windows:
* CODECS.MOD
* NPPAGENT.MOD
* REGDAEMON.MOD.TXT
В директории Progam Files создает свою копию под случайным именем, с расширением EXE.
Обеспечивает себе автозагрузку, записывая ссылку на вышеупомянутую копию в соответствующий раздел реестра:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
Регистрирует и запускает сервис HNPWXNMG. В реестре сервис записан в созданном трояном разделе:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\hnpwxnmg
Содержит другие вредоносные модули:
* Rootkit/Booto.C - руткит
* Hacktool/MailPassView.H - утилита отправки почты через пользовательскую учетную запись
Исполняемый код упакован PE_Patch.DotFix, PE_Patch.PECompact, PecBundle и PECompact.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Найти и остановить сервис, созданный трояном.
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Предназначен для кражи реквизитов одного из бразильских банков. При запросе пользователем страницы авторизации сайта банка, троян отображает подложную страницу с дополнительными вопросами о конфиденциальной информации. Данные, собранные со страницы, отправляются по электронной почте атакующему. Троян также отправляет атакующему данные о компьютере и дате захвата системы.
Внешние проявления: при запуске проигрывает песню "Like Humans Do".
Поступает на компьютер в виде файла с иконкой Windows Media Player, обычно под именем TIMVIDEOMENSAGEM.scr.
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:23
Infostealer.Onlinegame
Признаки
Троян может попасть на компьютер с вредоносных веб-сайтов, под именем 2.bat.
При запуске создает в директории Windows (%Windir%) следующие файлы:
* %Windir%\Help\F3C74E3FA248.dll
* %Windir%\Help\F3C74E3FA248.exe
Через реестр устанавливает перехватчик для "Проводника" (Explorer.exe):
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\ShellExecuteHooks\"{1DBD6574-D6D0-4782-94C3-69619E719765}" = ""
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1DBD657 4-D6D0-4782-94C3-69619E719765}
Собирает имена и пароли доступа к следующим онлайн-играм (и Yahoo Messenger):
* MapleStory
* World of Warcraft
* MSN Games
* Yahoo Messenger
Отправляет данные атакующему по электронной почте, используя собственную процедуру работы с SMTP-сервером. Может также отправлять данные через HTTP по следующим URL:
* [http://]www.b8591.com/tw888/upfil[...]
* [http://]www.b8591.com/tw888/sendma[...]
* [http://]www.b8591.com/tw888/upfile[...]
Может попытаться загрузить дополнительные исполняемые файлы с URL:
* [http://]www.microsoftmg.com/gut/mgg[...]
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Собирает реквизиты доступа к онлайн-играм и отправляет их атакующему по электронной почте или на веб-сайты.
источник: Symantec.com
lastmylove
26.02.2008, 08:24
Downloader.Silentbank
Признаки
Троян может быть загружен с вредоносной веб-страницы, содержащей эксплоит, и запущен без ведома пользователя.
При старте копирует себя как:
* C:\Documents and Settings\Administrator\Local Settings\Temp\wscnfy32.exe
Создает также следующие файлы:
* %ProgramFiles%\Internet Explorer\setupapi.dll
* %Windir%\msacm32.drv
* %System%\wuasirvy.dll
Примечание: имена файлов могут генерироваться случайным образом.
Троян периодически пытается загружать файлы с сайта microcbs.com. Один из загружаемых файлов - файл со списком новых URL для загрузки файлов, а второй - копия трояна Trojan.Silentbanker.
На лету отключает предупреждения брандмауэров о несанкционированном доступе к сайтам, отслеживая окна со следующими текстовыми строками:
* Warning: Components Have Changed
* Hidden Process Requests Network Access
* Windows Security Alert
* Allow all activities for this application
* ZoneAlarm Security Alert
* Create rule for %s
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троян для платформы Windows. Пытается периодически загружать из интернета троян Trojan.Silentbanker. Ослабляет настройки безопасности системы.
источник: Symantec.com
lastmylove
26.02.2008, 08:24
Trojan.Clampi
Признаки
При запуске создает следующие файлы:
* %UserProifile%\Administrator\Local Settings\Temp\[ORIGINAL FILE NAME].exe
* %System%\regscan.exe
(%UserProfile% - директория профиля текущего пользователя, ORIGINAL_FILE_NAME - имя файла, первоначально содержавшего троян, %System% - системная директория Windows)
Создает следующие записи в реестре:
* HKEY_USERS\S-1-5-21-816139046-577266240-1678582812-500\Software\Microsoft\Internet Explorer\Settings\"GID" = "00 00 00 61"
* HKEY_USERS\S-1-5-21-816139046-577266240-1678582812-500\Software\Microsoft\Internet Explorer\Settings\"GatesList" ="63 72 69 74 69 63 61 6C 66 61 63 74 6F 72 2E 63 63 00 2F 63 67 69 2D 62 69 6E 2F 63 69 74 79 2E 63 67 69 00 61 6E 61 6D 61 6C 69 74 79 2E 69 6E 66 6F 00 2F 63 67 69 2D 62 69 6E 2F 62 61 6E 67 2E 63 67 69 00 77 69 72 65 64 78 2E 69 6E 00 2F 63 67 69 2D 62 69 6E 2F 64 62 2E 63 67 69 00"
* HKEY_USERS\S-1-5-21-816139046-577266240-1678582812-500\Software\Microsoft\Internet Explorer\Settings\"KeyM" = "94 6B EE BC FF A5 BB 8B 5E 68 2A A5 8F BF 24 F5 7A 63 B7 9C BB DB 14 D5 1F AE B0 57 34 02 59 6F C6 38 9C 7E BD 8F 82 02 9F 36 AB 3F 0C 6C B9 4C C3 98 7E E6 77 0A CC 53 20 6F 6B 5B EC 83 A8 9E 34 C1 9E 9C 73 93 05 01 F3 3D D2 DA 79 ED 63 00 04 25 CB 82 FC 87 3D 89 E1 86 79 79 8C 67 A8 43 5C BC 65 26 66 5E B1 8A C5 51 95 E0 24 B8 7F F5 1A 1C 20 83 DD B7 44 E6 E7 66 B3 5D 88 A7 85 C8 2B A4 58 4E 18 85 A2 9D D3 16 D5 89 E6 51 4B 70 90 C9 F3 82 69 13 F1 09 ED 7C 30 86 2A 16 4A 4C A4 06 FA F9 78 C4 7D 72 93 FC 64 D7 48 C5 FB 83 A2 44 0A 98 77 BE CD 4B FE A8 69 A2 16 F2 73 C5 F1 44 FF 11 38 3E AF 5F 3F 87 05 61 61 FC FF 22 BE 00 D5 46 67 A0 BA CE 65 A5 C7 32 03 93 11 96 62 7E EB 0B 5D 9D 9A 92 1B 41 10 8C 2C 9B 09 A5 11 84 EB 91 CA 34 18 0E 92 2D 85 C7 6B 02 B0 EF"
* HKEY_USERS\S-1-5-21-816139046-577266240-1678582812-500\Software\Microsoft\Internet Explorer\Settings\"KeyE" = "00 01 00 01"
Через реестр обеспечивает себе автозагрузку при каждом запуске Windows:
HKEY_USERS\S-1-5-21-816139046-577266240-1678582812-500\Software\Microsoft\Windows\CurrentVersion\Run\"Regscan" = "C:\WINDOWS\system32\regscan.exe"
Пытается загрузить дополнительные модули со следующих http-серверов:
* [http://]anamality.info
* [http://]criticalfactor.cc
* [http://]wiredx.in
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Подключается к удаленному серверу и пытается загрузить дополнительные вредоносные модули.
источник: Symantec.com
lastmylove
26.02.2008, 08:25
Trojan.Waytostr
Признаки
Троян может поступить на компьютер во встроенном виде в файл формата CHM. При открытии CHM-файла на диск записывается и запускается исполняемый файл %Windir%\Downloaded program files\exe.exe.
Этот файл создает DLL %UserProfile%\Local Settings\Temporary Internet Files\mswsock.dll. DLL устанавливается как Layered Service Provider (LSP) - слой-перехватчик сетевого трафика. После установки DLL как LSP, файл EXE удаляется.
Троян создает следующие подключи реестра (и делает в них записи):
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{12111111-1111-1111-1111-11111[7_СЛУЧАЙНЫХ_ЦИФР]}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WinSock2.3
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\WinSock2\Winsock_Spi
Информация о захваченном компьютере отправляется атакующему через http-сервер http:\\www.way2star.com.
Перезаписывает собой все другие LSP указателями на свою DLL:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\WinSock2\Parameters\Protocol_Catalog9\Catalog_E ntries\[12_ДЕСЯТИЧНЫХ_ЦИФР]\"PackedCatalogItem" = "[ПУТЬ_К_DLL_ТРОЯНА]"
Пути к старым LSP сохраняются в ветви реестра:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\WinSock2\Winsock_Spi\"[4_ДЕСЯТИЧНЫХ_ЦИФРЫ]" = "[ПУТЬ_К_ОРИГИНАЛЬНОЙ_СИСТЕМНОЙ_DLL]"
Удаление вредоносной DLL без замены значений в реестре может нарушить работу сетевых функций.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Переустановить протокол TCP/IP
* Удалить файлы, принадлежащие вредоносной программе
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Поступает на компьютер в виде CHM-файла. Отправляет конфиденциальную и системную информацию через веб-сайт. Устанавливает перехватчик TCP/IP трафика.
источник: Symantec.com
lastmylove
26.02.2008, 08:25
Asprox.A
Признаки
Троян может быть загружен на компьютер другими вредоносными программами.
При запуске создает следующие файлы:
* ASPIMGR.EXE - в системной директории Windows
* DB32.TXT, G32.TXT, GS32.TXT, S32.TXT и WS386.INI - в директории Windows
* _CHECK32.BAT - во временной директории Windows
Работает как сервис ASPIMGR. Регистрирует сервис в реестре, создавая подключ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\aspimgr.
Доп. информация: троян написан на языке Visual C++ 5.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows NT. Представляет собой прокси-сервер, предоставляющий транзитное соединение с интернетом для атакующего.
Для проверки наличия соединения с интернетом, соединяется с некоторыми веб-сайтами. Собирает данные о компьютере, включая IP-адрес, и отправляет атакующему через веб-сайт.
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:26
Romeo.C
Признаки
При старте создает следующие файлы:
* SAVE.EXE и WIN2X.EXE - копии трояна - в системной директории Windows
* DLL.SYS - файл для сбора информации о компьютере - там же
Модифицирует C:\BOOT.INI, дописывая туда строку варианта загрузки:
multi(0)disk(0)rdisk(0)partition(1)\Romeo = "Su PC esta infestada por un virus de ultima generacion"
Модифицирует настройки системы через реестр.
Обеспечивает себе автозагрузку:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run Win2x = %sysdir%\Win2x.exe
Отключает "Редактор реестра"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System DisableRegistryTools = 01, 00, 00, 00
Отключает "Диспетчер задач"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System DisableTaskMgr = 01, 00, 00, 00
Отключает командную консоль (cmd.exe)
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System DisableCMD = 01, 00, 00, 00
Отключает "Восстановление системы"
HKEY_LOCAL_MACHINE\ SOFTWARE\ Policies\ Microsoft\ Windows NT\ SystemRestore Disable SR = 1
Отключает опцию "Выключить компьютер", а также возможность сделать это через командную консоль
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer NoClose = 1
Отключает опцию "Завершить сеанс"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer StartMenuLogOff = 1
Прячет пункт меню "Поиск" в меню "Пуск"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer NoFind = 1
Отключает пункт меню "Запуск" в меню "Пуск"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer NoRun = 1
Отключает пункт меню "Свойства папки" в "Проводнике"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer NoFolderOptions = 1
Убирает с экрана часы
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\Explorer HideClock = 1
Отключает возможность пользователя запускать приложения, на которые наложены ограничения к запуску
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\Explorer RestrictRun = 1
Отключает отображение скрытых файлов и директорий в "Проводнике"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced Hidden = 00, 00, 00, 00
Отключает отображение расширений файлов в "Проводнике"
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced HideFileExt = 01, 00, 00, 00
Создает сервис Win2x:
HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ Win2x
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ Win2x
Исполняемый файл, поступающий на компьютер, содержит иконку, аналогичную иконке папки.
Доп. информация: написан на языке Visual Basic.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows.
Модифицирует настройки "Проводника", меню "Пуск", отключает функцию "Поиск", отображение часов. Может завершать работу компьютера и завершать процессы без предупреждения.
Легко обнаруживается визуально - при каждом старте Windows выводит сообщение "Su PC esta infestada por un virus de ultima generacion" ("Ваш ПК заражен вирусом последнего поколения" - испанский).
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:26
Nabload.CXU
Признаки
Загружает на компьютер трояны семейства Banker - Banker.KKQ и Banker.KKU, предназначенные для кражи банковских реквизитов.
Для загрузки троянов подключается к ряду веб-сайтов и загружает оттуда списки URL, по которым расположены трояны.
При запуске создает файл AUDIOHQ.EXE в системной директории Windows (далее %sysdir%).
Обеспечивает себе автозагрузку, делая следующую запись в реестре:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ AudioHQ = %sysdir%\audiohq.exe
Написан на языке Delphi.
Псевдоним: Trojan-Downloader.Win32.Delf.eao.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Предназначен для загрузки из интернета троянов семейства Banker, созданных для хищения банковских реквизитов.
Поступает на компьютер по электронной почте. Письмо легко распознать: оно содержит тему "A Pessoa com o Major Rabo do Mundo." Текст письма написан на португальском и содержит ссылку на видеоролик на YouTube.
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:27
Phisher.BH
Признаки
Собирает с компьютера адреса электронной почты, сохраняет их в текстовый файл C:\WINDOWSUPDATE_INST.LOG. Данный файл затем отправляется атакующему на FTP-сервер.
Фишерское сообщение содержит ссылку на веб-сайт, идентичный по дизайну сайтам банков или платежной системы PayPal, а также копию трояна.
Написан на языке Delphi v5.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Собирает и отсылает атакующему на FTP-сервер все адреса электронной почты с захваченного компьютера. Рассылает по собранным адресам фишерские сообщения, направленные на пользователей PayPal, а также некоторых бразильских и итальянских банков. Сообщение также содержит копию трояна.
источник: PandaSecurity.com
lastmylove
26.02.2008, 08:27
Explorea.A
Признаки
При запуске, после выполнения всех действий, перезагружает компьютер командой SHUTDOWN -s -t 00. Собирает информацию о запущенных программах, включая дату и время запуска.
Запускается вместе с исполняемыми файлами (BAT, COM, EXE, PIF, LNK).
Создает в директории Windows (далее %windir%) свою копию под именем INTERNT.EXE, а также файл EXELOG.TXT, в котором хранится собранная информация о программах.
Обеспечивает себе автозагрузку при старте Windows (через реестр):
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ Registr = %windir%\Internt.exe
Отключает "Редактор реестра", пункт меню "Свойства папки" в "Проводнике", пункт "Запуск" в меню "Пуск":
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableRegistryTools = 01, 00, 00, 00
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFolderOptions = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ Advanced \ Start_ShowRun = 0
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ Advanced \ StartMenuRun = 0
Также создает следующие записи в реестре:
* HKEY_CURRENT_USER\ Software\ VB and VBA Program Settings\ yeanx\ yeanx \ yeanx = 2
* HKEY_CURRENT_USER\ Software\ VB and VBA Program Settings\ yregans\ yregans \ yregans = jregans
Обеспечивает себе запуск вместе с файлами с расширениями BAT, COM, EXE, PIF и LNK. Для этого модифицирует следующие записи реестра (приведены измененные значения):
* HKEY_CLASSES_ROOT\ batfile\ shell\ open\ command \ (Default) = %windir%\Internt.exe" "% 1"%*
* HKEY_CLASSES_ROOT\ comfile\ shell\ open\ command \ (Default) = %windir%\Internt.exe" "%1"%*
* HKEY_CLASSES_ROOT\ exefile\ shell\ open\ command \ (Default) = %windir%\Internt.exe" "%1"%*
* HKEY_CLASSES_ROOT\ piffile\ shell\ open\ command \ (Default) = %windir%\Internt.exe" "%1"%*
* HKEY_CLASSES_ROOT\ VBSFile\ Shell\ Open\ Command \ (Default) = %windir%\Internt.exe" "%1"%*
Модифицирует в реестре записи, относящиеся к правилам отображения скрытых файлов и папок (отключает отображение), и к отображению расширений файлов (отключает) - в "Проводнике":
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ Hidden = 00, 00, 00, 00
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ HideFileExt = 01, 00, 00, 00
Псевдонимы: Trojan.Win32.VB.boy,TR/VB.boy.3.
Язык программирования: Visual Basic v6.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Поступает на компьютер в виде исполняемого файла с иконкой, идентичной стандартной иконке папки.
После запуска и установки перезагружает компьютер, после чего запускается всегда вместе с исполняемыми файлами.
Визуально не проявляется.
источник: PandaSecurity.com
lastmylove
26.02.2008, 13:45
W32.Lurkasys.A
Признаки
При запуске создает следующие файлы:
* %System%\drivers\opengl.sys
* %System%\WUpdate$!.TMP
Обеспечивает себе автозагрузку, делая соответствующую запись в реестре:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"BootClean" = "smartdrv.exe"
Файл %System%\drivers\opengl.sys может также препятствовать загрузке Windows в "Безопасном режиме".
Вирус создает сервис со следующими характеристиками:
Имя сервиса: Kernel OpenGL Service
Тип запуска: автоматический
Для создания сервиса создает следующие ключи в реестре:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\OpenGL\"DisplayName" = "Kernel OpenGL Service"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\OpenGL\"ErrorControl" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\OpenGL\"Group" = "Boot Bus Extender"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\OpenGL\"ImagePath" = "%System%\drivers\opengl.sys"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\OpenGL\"Start" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\OpenGL\"Tag" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\OpenGL\"Type" = "1"
Заражает все исполняемые файлы на захваченном компьютере. Способ заражения неизвестен.
Может загружать из интернета и запускать дополнительные вредоносные программы, в частности, троян Backdoor.Bifrose.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
* Найти и остановить сервис, созданный вирусом.
Действие
Вирус для платформы Windows, заражающий исполняемые файлы. Создает копию трояна Backdoor.Bifrose.
источник: Symantec.com
lastmylove
26.02.2008, 13:45
W32.Sality.AB
Признаки
При запуске создает следующие файлы:
* %Temp%\[СЛУЧАЙНОЕ_ИМЯ].tmp
* %System%\[СЛУЧАЙНОЕ_ИМЯ].dll
* %System%\[СЛУЧАЙНОЕ_ИМЯ].dl_
* %System%\drivers\[СЛУЧАЙНОЕ_ИМЯ].sys
Во избежание повторной загрузки в память, создает/проверяет наличие мутекса "_kkiuynbvnbrev406".
Модифицирует следующие записи реестра:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Setting\"GlobalUserOffline" = "0"
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\policies\system\"EnableLUA" = "0"
Удаляет следующие записи реестра:
* HKEY_CURRENT_USER\System\CurrentControlSet\Control \SafeBoot
* HKEY_LOCAL_MACHINE\System\CurrentControlSet\Contro l\SafeBoot
* HKEY_CURRENT_USER\\Software\Microsoft\Windows\Curr entVersion\Ext\Stats
* HKEY_LOCAL_MACHINE\\Software\Microsoft\Windows\Cur rentVersion\Ext\Stats
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Ext\Stats
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Explorer\Browser Helper Objects
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects
Создает сервис руткита (%System%\drivers\[СЛУЧАЙНОЕ_ИМЯ].sys) с именем и отображаемым именем "MCIDRV_2600_6_0" и типом запуска "Автоматический".
Останавливает следующие сервисы:
* ALG
* aswUpdSv
* avast! Antivirus
* avast! Mail Scanner
* avast! Web Scanner
* AVP
* BackWeb Plug-in - 4476822
* bdss
* BGLiveSvc
* BlackICE
* CAISafe
* ccEvtMgr
* ccProxy
* ccSetMgr
* F-Prot Antivirus Update Monitor
* fsbwsys
* FSDFWD
* F-Secure Gatekeeper Handler Starter
* fshttps
* FSMA
* InoRPC
* InoRT
* InoTask
* ISSVC
* KPF4
* LavasoftFirewall
* LIVESRV
* McAfeeFramework
* McShield
* McTaskManager
* navapsvc
* NOD32krn
* NPFMntor
* NSCService
* Outpost Firewall main module
* OutpostFirewall
* PAVFIRES
* PAVFNSVR
* PavProt
* PavPrSrv
* PAVSRV
* PcCtlCom
* PersonalFirewal
* PREVSRV
* ProtoPort Firewall service
* PSIMSVC
* RapApp
* SmcService
* SNDSrvc
* SPBBCSvc
* Symantec Core LC
* Tmntsrv
* TmPfw
* tmproxy
* UmxAgent
* UmxCfg
* UmxLU
* UmxPol
* vsmon
* VSSERV
* WebrootDesktopFirewallDataService
* WebrootFirewall
* XCOMM
Заражает все исполняемые файлы в директориях, указанных в следующих разделах реестра:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Shell NoRoam\MUICache
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run
Также заражает все файлы .EXE и .SCR на диске C: и сетевых ресурсах, доступных на запись, кроме файлов в директориях SYSTEM и AHEAD.
Зараженные файлы увеличиваются в размере на 57.344 байт.
Удаляет все файлы, чьи имена содержат следующие подстроки:
* .AVC
* .KEY
* .VDB
* _AVPM.
* A2GUARD.
* AAVSHIELD.
* ADVCHK.
* AHNSD.
* AIRDEFENSE
* ALERTSVC
* ALMON.
* ALOGSERV
* ALSVC.
* AMON.
* ANTI-TROJAN.
* ANTIVIR
* ANTS.
* APVXDWIN.
* ARMOR2NET.
* ASHAVAST.
* ASHDISP.
* ASHENHCD.
* ASHMAISV.
* ASHPOPWZ.
* ASHSERV.
* ASHSIMPL.
* ASHSKPCK.
* ASHWEBSV.
* ASWUPDSV.
* ATCON.
* ATUPDATER.
* ATWATCH.
* AUPDATE.
* AUTODOWN.
* AUTOTRACE.
* AUTOUPDATE.
* AVAST
* AVCIMAN.
* AVCONSOL.
* AVENGINE.
* AVGAMSVR.
* AVGCC.
* AVGCC32.
* AVGCTRL.
* AVGEMC.
* AVGFWSRV.
* AVGNT.
* AVGNTDD
* AVGNTMGR
* AVGSERV.
* AVGUARD.
* AVGUPSVC.
* AVINITNT.
* AVKSERV.
* AVKSERVICE.
* AVKWCTL.
* AVP.
* AVP32.
* AVPCC.
* AVPM.
* AVPUPD.
* AVSCHED32.
* AVSYNMGR.
* AVWUPD32.
* AVWUPSRV.
* AVXMONITOR9X.
* AVXMONITORNT.
* AVXQUAR.
* AVZ.
* BACKWEB-4476822.
* BDMCON.
* BDNEWS.
* BDOESRV.
* BDSS.
* BDSUBMIT.
* BDSWITCH.
* BLACKD.
* BLACKICE.
* CAFIX.
* CCAPP.
* CCEVTMGR.
* CCPROXY.
* CCSETMGR.
* CFIAUDIT.
* CLAMTRAY.
* CLAMWIN.
* CLAW95.
* CLAW95CF.
* CLEANER.
* CLEANER3.
* CLISVC.
* CMGRDIAN.
* CUREIT
* DEFWATCH.
* DOORS.
* DRVIRUS.
* drw
* DRWADINS.
* DRWEB32W.
* DRWEBSCD.
* DRWEBUPW.
* ESCANH95.
* ESCANHNT.
* EWIDOCTRL.
* EZANTIVIRUSREGISTRATIONCHECK.
* F-AGNT95.
* F-PROT95.
* F-SCHED.
* F-STOPW.
* FAMEH32.
* FAST.
* FCH32.
* FILEMON
* FIRESVC.
* FIRETRAY.
* FIREWALL.
* FPAVUPDM.
* FRESHCLAM.
* FRW.
* FSAV32.
* FSAVGUI.
* FSBWSYS.
* FSDFWD.
* FSGK32.
* FSGK32ST.
* FSGUIEXE.
* FSM32.
* FSMA32.
* FSMB32.
* FSPEX.
* FSSM32.
* GCASDTSERV.
* GCASSERV.
* GIANTANTISPYWAREMAIN.
* GIANTANTISPYWAREUPDATER.
* GUARDGUI.
* GUARDNT.
* HREGMON.
* HRRES.
* HSOCKPE.
* HUPDATE.
* IAMAPP.
* IAMSERV.
* ICLOAD95.
* ICLOADNT.
* ICMON.
* ICSSUPPNT.
* ICSUPP95.
* ICSUPPNT.
* IFACE.
* INETUPD.
* INOCIT.
* INORPC.
* INORT.
* INOTASK.
* INOUPTNG.
* IOMON98.
* ISAFE.
* ISATRAY.
* ISRV95.
* ISSVC.
* KAV.
* KAVMM.
* KAVPF.
* KAVPFW.
* KAVSTART.
* KAVSVC.
* KAVSVCUI.
* KMAILMON.
* KPFWSVC.
* KWATCH.
* LOCKDOWN2000.
* LOGWATNT.
* LUALL.
* LUCOMSERVER.
* LUUPDATE.
* MCAGENT.
* MCMNHDLR.
* MCREGWIZ.
* MCUPDATE.
* MCVSSHLD.
* MINILOG.
* MYAGTSVC.
* MYAGTTRY.
* NAVAPSVC.
* NAVAPW32.
* NAVLU32.
* NAVW32.
* NEOWATCHLOG.
* NEOWATCHTRAY.
* NISSERV
* NISUM.
* NMAIN.
* NOD32
* NOD32.
* NORMIST.
* NOTSTART.
* NPAVTRAY.
* NPFMNTOR.
* NPFMSG.
* NPROTECT.
* NSCHED32.
* NSMDTR.
* NSSSERV.
* NSSTRAY.
* NTRTSCAN.
* NTXCONFIG.
* NUPGRADE.
* NVC95.
* NVCOD.
* NVCTE.
* NVCUT.
* NWSERVICE.
* OFCPFWSVC.
* OUTPOST.
* PAV.
* PAVFIRES.
* PAVFNSVR.
* PAVKRE.
* PAVPROT.
* PAVPROXY.
* PAVPRSRV.
* PAVSRV51.
* PAVSS.
* PCCGUIDE.
* PCCIOMON.
* PCCNTMON.
* PCCPFW.
* PCCTLCOM.
* PCTAV.
* PERSFW.
* PERTSK.
* PERVAC.
* PNMSRV.
* POP3TRAP.
* POPROXY.
* PREVSRV.
* PSIMSVC.
* QHM32.
* QHONLINE.
* QHONSVC.
* QHPF.
* QHWSCSVC.
* RAVMON.
* RAVTIMER.
* REALMON.
* REALMON95.
* RFWMAIN.
* RTVSCAN.
* RTVSCN95.
* RULAUNCH.
* SAVADMINSERVICE.
* SAVMAIN.
* SAVPROGRESS.
* SAVSCAN.
* SCAN32.
* SCANNINGPROCESS.
* SCHED.
* SDHELP.
* SHSTAT.
* SITECLI.
* SPBBCSVC.
* SPHINX.
* SPIDERML.
* SPIDERNT.
* SPIDERUI.
* SPYBOTSD.
* SPYXX.
* SS3EDIT.
* STOPSIGNAV.
* SWAGENT.
* SWDOCTOR.
* SWNETSUP.
* SYMLCSVC.
* SYMPROXYSVC.
* SYMSPORT.
* SYMWSC.
* SYNMGR.
* TAUMON.
* TBMON.
* TC.
* TCA.
* TCM.
* TDS-3.
* TEATIMER.
* TFAK.
* THAV.
* THSM.
* TMAS.
* TMLISTEN.
* TMNTSRV.
* TMPFW.
* TMPROXY.
* TNBUTIL.
* TRJSCAN.
* UP2DATE.
* VBA32ECM.
* VBA32IFS.
* VBA32LDR.
* VBA32PP3.
* VBSNTW.
* VCHK.
* VCRMON.
* VETTRAY.
* VIRUSKEEPER.
* VPTRAY.
* VRFWSVC.
* VRMONNT.
* VRMONSVC.
* VRRW32.
* VSECOMR.
* VSHWIN32.
* VSMON.
* VSSERV.
* VSSTAT.
* WATCHDOG.
* WEBPROXY.
* WEBSCANX.
* WEBTRAP.
* WGFE95.
* WINAW32.
* WINROUTE.
* WINSS.
* WINSSNOTIFY.
* WRADMIN.
* WRCTRL.
* XCOMMSVR.
* ZATUTOR.
* ZAUINST.
* ZLCLIENT.
* ZONEALARM.
Для загрузки дополнительных модулей подключается к ряду сайтов, содержащих URL модулей:
* [http://]makemegood24.com
* [http://]perfectchoice1.com
* [http://]cash-ddt.net
* [http://]ddr-cash.net
* [http://]trn-cash.net
* [http://]money-frn.net
* [http://]clr-cash.net
* [http://]xxxl-cash.net
* [http://]www.kjwre77638dfqwieuoi.info
Сервис, установленный вирусом, представляет собой фильтр сервиса IPFILTERDRIVER. Он уничтожает все сетевые пакеты, содержащие следующие подстроки:
* agnmitum.
* bitdefender.
* eset.com
* etrust.com
* ewido.
* f-secure.
* kaspersky
* mcafee.
* onlinescan.
* pandasoftware.
* sophos.
* spywareguide.
* spywareinfo.
* symantec.
* trendmicro.
* virusscan.
* virustotal.
* windowsecurity.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Вирус для платформы Windows. Заражает исполняемые файлы (EXE, SCR); загружает дополнительные вредоносные модули из интернета. Ослабляет настройки безопасности системы.
источник: Symantec.com
lastmylove
26.02.2008, 13:45
W32.Sovtank
Признаки
При запуске заменяет обои на изображение советского ордена. Изображение сохраняется как [%bgimagefolder%]\ussr_[6_случайных_букв].bmp.
%bgimagefolder% - директория для расположения обоев по умолчанию. Обычно это или директория, в которую установлена Windows, или "My Pictures".
Заражает исполняемые файлы формата PE, указанные для автозагрузки в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Вирус для платформы Windows. Заражает исполняемые файлы формата PE (EXE, SCR); ослабляет настройки безопасности системы. При запуске заменяет обои на изображение советского ордена.
Пытается закрыть все приложения, имеющие окна с названиями, содержащими подстроки "antivir" и "anti vir".
источник: Symantec.com
lastmylove
26.02.2008, 13:46
W32.Tufik.B
Признаки
При старте сохраняет свою копию как "%Windir%\alg.exe".
Через реестр обеспечивает себе автозагрузку при каждом запуске Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run\"lsass" = "%Windir%\alg.exe".
Заражает исполняемые файлы (.EXE) на всех дисках, зараженные файлы определяются антивирусами Symantec как W32.Tufik.B!inf.
Пытается загрузить копию трояна-"черного хода" (Backdoor.Trojan) с сайта:
[http://]www.365xinyu.com/download/svcho[???].
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Вирус для платформы Windows. Заражает (с возможностью восстановления) исполняемые файлы .EXE (формат PE). Загружает из интернета дополнительные вредоносные модули.
источник: Symantec.com
Deementor
28.02.2008, 18:43
Grabber NEW
Предлогаемый для скачивания по этой ссылке http://www.filefactory.com/file/6672fd/
Склеенный и закриптованный троянчик.
lastmylove
04.03.2008, 16:19
Xorer.O
Производит следующие действия: проверяет наличие соединения с интернетом. В случае обнаружения, загружает с сайта http://js.k[???]02.com два файла - DATA.GIF (обновление червя) и ANTITOOL.EXE, записывающий в систему библиотеку перехвата трафика WinPCap и файл ALG.EXE, перехватывающий и модифицирующий трафик.
Для маскировки использует руткит для сокрытия своих файлов, скрывает отображение системных файлов.
Завершает процессы, в имени которых содержатся следующие текстовые строки:
* #32770
* 360anti
* 360safe
* AfxControlBar42s
* antivir
* bitdefender
* cabinetwclass
* dr.web
* escan
* ewido
* facelesswndproc
* firewall
* ieframe
* mcagent
* metapad
* monitor
* mozillauiwindowclass
* SREng
* tapplication
* thunderrt6formdc
* thunderrt6main
* ThunderRT6Timer
Распространяется, создавая в корне всех дисков файлы PAGEFILE.PIF, 037589.LOG и AUTORUN.INF (файл, обеспечивающий автозапуск PAGEFILE.PIF при подключении к системе).
Создает следующие файлы:
* LSASS.EXE - в поддиректории Com системной директории Windows
* ~????.EXE - в директории Автозапуска (? - случайные символы)
Также создает файлы:
* NETAPI000.SYS - в корне диска C: - руткит для сокрытия файлов, принадлежащих червю
* NETCFG.000, NETCFG.DLL и SMSS.EXE - в поддиректории Com в системной директории Windows
* DNSQ.DLL - в системной директории Windows
Модифицирует следующие записи в реестре:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ Folder\ SuperHidden \ Type = radio ox b o x WinRAR\WinRAR.exe" "%1" R A R \ W i n R A R . e x e " "????. e x e "
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced \ ShowSuperHidden = 00, 00, 00, 00
Удаляет из реестра следующие записи для отключения возможности загрузки системы в "Безопасном режиме" (Safe Mode):
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ SafeBoot\ Minimal\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ SafeBoot\ Network\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
* HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Minimal\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
* HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Network\ {4D36E967-E325-11CE-BFC1-08002BE10318} \ (Default) = DiskDrive
Также удаляет из реестра все записи, принадлежащии ветви автозапуска (HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run).
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на съемные и сетевые диски. Перехватывает интернет-трафик в локальной сети и модифицирует запрашиваемые веб-страницы, добавляя к ним всплывающее окно с текстом на китайском языке.
источник: PandaSecurity.com
lastmylove
04.03.2008, 16:19
W32.Scrapkut
Червь поступает жертве - пользователю Orkut) как комментарий-scrap (по терминологии Orkut).
Для отправки комментария всем пользователям в адресной книге жертвы использует сценарий GreaseMonkey. Комментарий содержит изображение, похожее на изображени с YouTube, перенаправляющее браузер на следующий URL: [http://]instantflashx.zip.net/watch[???]
По данному URL находится страница, которая сообщает о невозможности воспроизвести видео без Macromedia Flash Player, и предлагает загрузить плеер (на самом деле - копию червя) с URL [http://]installgetflash.blogcindario.com/ficheros/flashx_play[???].
При запуске отображает окно с сообщением на португальском об успешной установке плагина.
Червь загружает вредоносные файлы со следующих URL:
* [http://]avdetectordok.ifastnet.com/vaiprim[???]
* [http://]pluginforweb22.ifastnet.com/auook[???]
* [http://]youprincipalpug.ifastnet.com/gamesys[???]
Файлы сохраняются в следующие места на диске:
* %Windir%\windosremote.exe
* %Windir%\logservicess.exe
* %Windir%\win32chekupdate.exe
Запускает командный файл, пытающийся завершить антивирусные процессы.
Затем запускает файл %Windir%\win32chekupdate.exe, загружающий файлы со следующих URL:
* [http://]plugddownload.ifastnet.com/PP.reg
* [http://]plugddownload.ifastnet.com/system32/Partizan.exe
* [http://]plugddownload.ifastnet.com/drivers/Partizan.sys
* [http://]plugddownload.ifastnet.com/addreg.exe
Сохраняет их как:
* %Windir%\PP.reg
* %System%\Partizan.exe
* %System%\drivers\Partizan.sys
* %Windir%\addreg.exe
Обращается к веб-странице, подсчитывающей количество заражений:
* [http://]www.csiclasnwebgamer.com/contad[???]
Модифицирует следующую запись в реестре:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Session Manager\"BootExecute" = "[a.u.t.o.c.h.e.c.k. .a.u.t.o.c.h.k. .*...P.a.r.t.i.z.a.n]"
Создает в реестре запись:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Partizan\"Group" = "Boot Bus Extender"
Создает сервис со следующими характеристиками:
* Image Path: %System%\drivers\Partizan.sys
* Display Name: Partizan
* Startup Type: Automatic
Встраивает код в процесс Internet Explorer.
Распространяется, рассылая комментарии-scraps всем пользователям Orkut, перечисленным в адресной книге, когда пользователь-жертва подключается к этой социальной сети с захваченного компьютера.
Псевдонимы: W32/Scrapkut.worm (McAfee).
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется рассылкой себя пользователям социальной сети Orkut. Загружает дополнительные файлы из интернета, завершает процессы, принадлежащие антивирусным программам.
источник: Symantec.com
lastmylove
04.03.2008, 16:19
Spyware.AcePasswdSnif
При установке программа создает следующие файлы:
* C:\Documents and Settings\All Users\Desktop\Ace Password Sniffer.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\WinPcap\Uninstall WinPcap 4.1 beta2.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\Ace Password Sniffer\Ace Password Sniffer.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\Ace Password Sniffer\UNWISE.EXE.lnk
* %ProgramFiles%\Ace Password Sniffer\APS.exe
* %ProgramFiles%\Ace Password Sniffer\eula.txt
* %ProgramFiles%\Ace Password Sniffer\INSTALL.LOG
* %ProgramFiles%\Ace Password Sniffer\readme.txt
* %ProgramFiles%\Ace Password Sniffer\UNWISE.EXE
* %ProgramFiles%\Ace Password Sniffer\WinPcap.exe
(Примечание: %ProgramFiles% - директория "Program Files", обычно находится в корне диска, где установлена Windows)
В реестре создаются следующие записи:
* HKEY_CURRENT_USER\Software\EffeTech
* HKEY_CURRENT_USER\Software\EffeTech\Ace Password Sniffer\Reg\"SetupTime" = "00017D28"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"DisplayName" = "Ace Password Sniffer v1.4"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"UninstallString" = "C:\PROGRA~1\ACEPAS~1\UNWISE.EXE C:\PROGRA~1\ACEPAS~1\INSTALL.LOG"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"DisplayVersion" = "1.4"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"HelpLink" = "http://www.effetech.com/help/sniffer-faq.htm"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"Publisher" = "EffeTech"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"URLInfoAbout" = "http://www.effetech.com/"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"Contact" = "Harry"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Ace Password Sniffer v1.4\"DisplayIcon" = "C:\PROGRA~1\ACEPAS~1\APS.exe,-0"
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Шпионская программа для платформы Windows, предназначенная для перехвата паролей в локальной сети.
Название программы - Ace Password Sniffer, версия 1.4.0.1, разработчик - EffeTech.
источник: Symantec.com
lastmylove
23.04.2008, 14:50
Spyware.PCAgent
Признаки
При установке создает следующие файлы:
* %System%\diskmgr\Administrator20080319120950.dat
* %System%\[СЛУЧАЙНОЕ_ИМЯ].dll
* %System%\[СЛУЧАЙНОЕ_ИМЯ].exe
* %Windir%\[СЛУЧАЙНОЕ_ИМЯ].ini
В реестре создаются следующие ключи:
* HKEY_CLASSES_ROOT\.pca
* HKEY_CLASSES_ROOT\pcamon
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\diskmgr
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ]
Может прерывать нахождение компьютера в ждущем или спящем режимах.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Шпионская программа для платформы Windows. Собирает данные о нажатых клавишах и открываемых файлах. Может отправлять данные атакующему по электронной почте.
Название программы: PC Agent, разработчик: Blue-series.de.
источник: Symantec.com
lastmylove
23.04.2008, 14:51
Spyware.OsMonitor
Признаки
Состоит из клиентской и серверной части.
Клиентская часть при установке создает следующие файлы:
* %ProgramFiles%\wrkwn80\hbyabeihua.lib
* %ProgramFiles%\wrkwn80\Msvbvm60.dll
* %ProgramFiles%\wrkwn80\OsMonitorLm.exe
* %ProgramFiles%\wrkwn80\sunntd
* %ProgramFiles%\wrkwn80\System.dll
* %ProgramFiles%\wrkwn80\windlwork.dll
* %ProgramFiles%\wrkwn80\workw3in.dll
* %ProgramFiles%\wrkwn80\wsetdata.dat
* %ProgramFiles%\wrkwn80\Zipdll.dll
* %ProgramFiles%\wrkwn80\Zipit.dll
* %UserProfile%\Local Settings\Temp\[СЛУЧАЙНОЕ_ИМЯ].tmp
В реестре создаются следующие подключи:
* HKEY_CURRENT_USER\Software\newskydev
* HKEY_CURRENT_USER\Software\newskydev\workwin2
* HKEY_CURRENT_USER\Software\newskydev\workwin2\Main
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\workwin
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\workwin\shell
Обеспечивает себе автозагрузку при каждом запуске Windows, делая записи в соответствующем разделе реестра:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"MsWWinLm" = "43 00 3A 00 5C 00 50 00 72 00 6F 00 67 00 72 00 61 00 6D 00 20 00 46 00 69 00 6C 00 65 00 73 00 5C 00 77 00 72 00 6B 00 77 00 6E 00 38 00 30 00 5C 00 4F 00 73 00 4D 00 6F 00 6E 00 69 00 74 00 6F 00 72 00 4C 00 6D 00 2E 00 65 00 78 00 65 00 00 00 00 00 00 00 00 00 07 00 00 00 07 00 00 00 AC 00 01 00 0F 00 00 00 00 00 00 00 00 00 00 00 72 00 6F 00 67 00 72 00 61 00 6D 00 20 00 46 00 69 00 6C 00 65 00 73 00 5C 00 77 00 72 00 6B 00 77 00 6E 00 38 00 30 00 5C 00 4F 00 73 00 4D 00 6F 00 6E 00 69 00 74 00 6F 00"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"MsWWinLm" = "43 00 3A 00 5C 00 50 00 72 00 6F 00 67 00 72 00 61 00 6D 00 20 00 46 00 69 00 6C 00 65 00 73 00 5C 00 77 00 72 00 6B 00 77 00 6E 00 38 00 30 00 5C 00 4F 00 73 00 4D 00 6F 00 6E 00 69 00 74 00 6F 00 72 00 4C 00 6D 00 2E 00 65 00 78 00 65 00 00 00 00 00 00 00 00 00 07 00 00 00 07 00 00 00 AC 00 01 00 0F 00 00 00 00 00 00 00 00 00 00 00 72 00 6F 00 67 00 72 00 61 00 6D 00 20 00 46 00 69 00 6C 00 65 00 73 00 5C 00 77 00 72 00 6B 00 77 00 6E 00 38 00 30 00 5C 00 4F 00 73 00 4D 00 6F 00 6E 00 69 00"
Отключает "Диспетчер задач" через реестр:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\DisableTaskMgr
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\system\DisableTaskMgr
Клиентская часть может работать в скрытом от пользователя режиме.
Серверная часть при установке создает следующие файлы:
* %ProgramFiles%\OsMonitor Server\BackupFiles\
* %ProgramFiles%\OsMonitor Server\BackupFiles\[ДАТА]\
* %ProgramFiles%\OsMonitor Server\pic\
* %ProgramFiles%\OsMonitor Server\pic\[ДАТА]\
Также создаются следующие файлы:
* %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\OsMonitor Server.lnk
* C:\Documents and Settings\All Users\Desktop\OsMonitor Server.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\OsMonitor Server\OsMonitor Monitoring Software on the Web.url
* C:\Documents and Settings\All Users\Start Menu\Programs\OsMonitor Server\OsMonitor Server.lnk
* %ProgramFiles%\OsMonitor Server\eaagle.dll
* %ProgramFiles%\OsMonitor Server\en.ini
* %ProgramFiles%\OsMonitor Server\GdiPlus.dll
* %ProgramFiles%\OsMonitor Server\OsMonitorServer.exe
* %ProgramFiles%\OsMonitor Server\time.ini
* %ProgramFiles%\OsMonitor Server\unins000.dat
* %ProgramFiles%\OsMonitor Server\unins000.exe
* %ProgramFiles%\OsMonitor Server\wsetdata.dat
* %ProgramFiles%\OsMonitor Server\wwinlog.dat
В реестре создаются следующие подключи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8E2FCC5 5-D7C9-4766-1F80-F5E164610974}
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8E2FCC5 5-D7C9-4766-1F80-F5E164610974}\LocalServer32
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8E2FCC5 5-D7C9-4766-1F80-F5E164610974}\ProgID
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8E2FCC5 5-D7C9-4766-1F80-F5E164610974}\TypeLib
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8E2FCC5 5-D7C9-4766-1F80-F5E164610974}\VersionIndependentProgID
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{4A7CE 1FD-3BEA-EC3B-3196-F7EB112EA791}
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{4A7CE 1FD-3BEA-EC3B-3196-F7EB112EA791}\1.0
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{4A7CE 1FD-3BEA-EC3B-3196-F7EB112EA791}\1.0\0
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{4A7CE 1FD-3BEA-EC3B-3196-F7EB112EA791}\1.0\0\win32
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{4A7CE 1FD-3BEA-EC3B-3196-F7EB112EA791}\1.0\FLAGS
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{4A7CE 1FD-3BEA-EC3B-3196-F7EB112EA791}\1.0\HELPDIR
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\OsMonitor Server_is1
* HKEY_CURRENT_USER\Software\ASProtect
* HKEY_CURRENT_USER\Software\ASProtect\SpecData
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\DiskWin
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\DiskWin\server
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\msgetinfo37
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\msgetinfo37\Run816
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\MSInternetinfo1
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\MSInternetinfo1\run816
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\njwangya
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\njwangya\m
Также в реестре создается запись, обеспечивающая автозагрузку приложения при каждом запуске Windows:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"workwinserver" = "43 00 3A 00 5C 00 50 00 72 00 6F 00 67 00 72 00 61 00 6D 00 20 00 46 00 69 00 6C 00 65 00 73 00 5C 00 4F 00 73 00 4D 00 6F 00 6E 00 69 00 74 00 6F 00 72 00 20 00 53 00 65 00 72 00 76 00 65 00 72 00 5C 00 4F 00 73 00 4D 00 6F 00 6E 00 69 00 74 00 6F 00 72 00 53 00 65 00 72 00 76 00 65 00 72 00 2E 00 65 00 78 00 65 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 A7 00 02 00 09 00 00 00 48 00 01 00 08 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00"
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Приложение для платформы Windows, отслеживающее работу пользователя в интернете - трафик чатов и интернет-пейджеров, посещаемые веб-сайты; также отслеживает запускаемые приложения. Может предотвращать установку новых приложений и ограничивать доступ к интернету. Состоит из клиенского и серверного компонентов.
Название приложения: OsMonitor, версия: 1.0.0.1, разработчик: WangYa Software.
источник: Symantec.com
lastmylove
23.04.2008, 14:51
Spyware.PornCleanser
Признаки
При запуске создает следующие файлы:
* %UserProfile%\Local Settings\Temp\[СЛУЧАЙНОЕ_ИМЯ].tmp
* C:\Documents and Settings\All Users\Desktop\PC 2008.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\PC\PC 2008 on the Web.url
* C:\Documents and Settings\All Users\Start Menu\Programs\PC\PC 2008.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\PC\Remove PC 2008.lnk
* %ProgramFiles%\PC\asycfilt.DLL
* %ProgramFiles%\PC\COMCAT.DLL
* %ProgramFiles%\PC\COMCTL32.OCX
* %ProgramFiles%\PC\COMDLG32.OCX
* %ProgramFiles%\PC\data\AllowedSites.txt
* %ProgramFiles%\PC\data\Applications.txt
* %ProgramFiles%\PC\data\BlockSites.txt
* %ProgramFiles%\PC\data\keywords.txt
* %ProgramFiles%\PC\endkeylog.exe
* %ProgramFiles%\PC\iea.exe
* %ProgramFiles%\PC\IEEvents.ctl
* %ProgramFiles%\PC\ListPrivileges.txt
* %ProgramFiles%\PC\logs\media\blockedmedia.txt
* %ProgramFiles%\PC\logs\savepictures\[СЛУЧАЙНОЕ_ИМЯ].bmp
* %ProgramFiles%\PC\logs\screenspy\[СЛУЧАЙНОЕ_ИМЯ].bmp
* %ProgramFiles%\PC\logs\urls\visitedurl.txt
* %ProgramFiles%\PC\msdirectx.sys
* %ProgramFiles%\PC\MSFLXGRD.OCX
* %ProgramFiles%\PC\msvbvm60.dll
* %ProgramFiles%\PC\oleaut32.DLL
* %ProgramFiles%\PC\olepro32.DLL
* %ProgramFiles%\PC\remove.exe
* %ProgramFiles%\PC\resiea.res
* %ProgramFiles%\PC\stdole2.tlb
* %ProgramFiles%\PC\svchosts.exe
* %ProgramFiles%\PC\sysstray.exe
* %ProgramFiles%\PC\TABCTL32.OCX
* %ProgramFiles%\PC\unins000.dat
* %ProgramFiles%\PC\unins000.exe
* %ProgramFiles%\PC\Urlhist.tlb
* %ProgramFiles%\PC\VB6STKIT.DLL
* %ProgramFiles%\PC\vbscript.dll
* %ProgramFiles%\PC\web\stoppage.html
* %ProgramFiles%\PC\web\stoppage2.html
* %ProgramFiles%\PC\web\stoppage3.html
* %ProgramFiles%\PC\wndrivers.dat
* %ProgramFiles%\PC\WORDPAD.EXE
* %SystemDrive%\keylog.rtf
* %SystemDrive%\tmptmp.exe
Примечание: %ProgramFiles% - директория Windows для приложений, %SystemDrive% - системный диск.
Через реестр обеспечивает себе автозагрузку при старте Windows:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Service Host" = "C:\Program Files\PC\svchosts.exe"
Создает следующие подключи:
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\PornCleanser
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\PornCleanser\Settings
* HKEY_CURRENT_USER\Software\VB and VBA Program Settings\PornCleanser\Startup
При попытке посещения запрещенных (заблокированных программой) саайтов, перенаправляет пользователя на www.pcleanser.com/xcxno/stoppage.html
Программа продается через сайт www.lockthemdown.com.
ЗАЩИТА
Для удаления программы воспользуйтесь антивирусом, содержащим в базе ее определение. Затем следует вручную удалить/восстановить созданные/измененные программой ключи реестра.
Действие
Шпионская программа для платформы Windows. Крадет конфиденциальную информацию (журнал нажатия клавиш, скриншоты через заданный промежуток времени, список посещаемых веб-сайтов). Также программа может блокировать некоторые веб-сайты. Работает в скрытом режиме, и не может быть обнаружена пользователем.
Данные о программе:
Название: PornCleanser
Разработчик: L.F. Grundy Software Company
Версия: 1.04.2008.
источник: Symantec.com
lastmylove
23.04.2008, 14:52
W32.Momib.A
Признаки
При запуске создает следующие файлы - свои копии (%Windir% - установочная директория Windows):
* %Windir%\EXPLORAR.exe
* %Windir%\NETSVC.EXE
* %Windir%\NETUI.exe
* %Windir%\WINVER.exe
* C:\Documents and Settings\Administrator\Start Menu\Programs\Startup\WINSTART.exe
* C:\Documents and Settings\All Users\Start Menu\Programs\Startup\WINSTART.exe
Также создает файлы:
* [Текущая_директория]\Windows Explorer.url
* c:\a.txt
* c:\msg.txt
Пытается удалить все содержимое директории с антивирусной базой Symantec:
* C:\Program Files\Common Files\Symantec Shared\VirusDefs
Обеспечивает себе автозагрузку при старте Windows. Создает/модифицирует в реестре следующие записи:
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"Microsoft Net Driver" = "%Windir%\NETSVC.exe"
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\"load" = "%Windir%\NETUI.EXE"
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinLogon\"Shell" = "Explorer.exe %Windir%\WINVER.EXE"
Также создает в реестре запись:
* HKEY_LOCAL_MACHINE\Software\Microsoft\WinNT\"ID" = "[ДД/ММ/ГГГГ]"
(Примечание: ДД/ММ/ГГГГ - день, месяц и год)
Отключает "Диспетчер задач", модифицируя запись в реестре:
* HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\System\"DisableTaskMgr" = "1"
Может открывать в "Блокноте" файл c:\msg.txt.
Содержимое файла:
*** I M P O R T A N T M E S S A G E ***
------------------------------------------
ALL DATA [слово скрыто] on your computer
------------------ SORRY ------------------
* tHe pIrAcY kIllEr *
После открытия файла пытается перезаписать и удалить все файлы и директории на всех дисках. В корень дисков копирует файл c:\msg.txt как Piracy.txt.
Копирует на все диски себя под именем Mobimb.exe, создавая там же - в корне - файл автозапуска autorun.inf.
Содержимое файла autorun.inf:
[AutoRun]
open=mobimb.exe
shell\open\Command=mobimb.exe
shell\open\Default=1
shell\explore\Command=mobimb.exe
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием на съемные и сетевые диски. Может удалять файлы на захваченном компьютере.
источник: Symantec.com
lastmylove
23.04.2008, 14:52
VBS.Wisfidix
Признаки
При запуске копирует себя как %Windir%\Winlogon.vbs.
(Примечание: %Windir% - директория, в которую установлена Windows)
Копирует себя под разными именами в корень дисков A, C, D, E, F, G.
Список имен:
* GRACIELA EN LA DUCHA.JPG.vbs
* DANIELA EN LA DUCHA.JPG.vbs
* KARINA EN BIKINI.GIF.vbs
* MELISSA DESNUDA.GIF.vbs
* LORENA AMOR.JPG.vbs
* CHICA SOLITARIA.GIF.vbs
* CARLA LORENA EN SU DUCHA.GIF.vbs
Обеспечивает себе автозапуск вместе с Windows. Для этого создает следующие записи в реестре:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"ooocromosomasgenetics" = "wscript.exe %Windir%\Winlogon.vbs %"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Winlogon.vbs" = "%Windir%\Winlogon.vbs"
Через реестр заменяет стартовую страницу Internet Explorer:
* HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\"Start Page" = "[http://]www.xxx.voque.net"
Через реестр включает опцию Internet Explorer, предусматривающую начало работы с загрузки стартовой страницы:
* HKEY_CURRENT_USER\Software\Policies\Microsoft\Inte rnet Explorer\Control Panel\"Homepage" = "1"
Предположительно, может рассылать себя по электронной почте.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием на диски A, C, D, E, F, G. Предположительно, может распространяться по электронной почте. Представляет собой файл сценария на языке Visual Basic Script (VBS).
источник: Symantec.com
lastmylove
23.04.2008, 14:53
W32.Dutan.A
Признаки
При запуске создает в системной директории Windows (далее %System%) файлы:
* %System%\winxpsp2.dll
* %System%\csrsss.exe
* %System%\svchosts.exe
Копирует себя на все доступные диски, которым присвоена буква, в корень под именем svchosts.exe. Там же создает файл автозапуска autorun.inf.
Обеспечивает себе автозагрузку при каждом старте Windows. Для этого создает в реестре следующую запись:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Microsoft OfficeTool" = "svchosts.exe"
Также может создавать следующие записи в реестре:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2\{56999cec-3c1d-11db-a335-806d6172696f}\"BaseClass" = "Drive"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2\{6dd31b68-fe5a-11db-9fd3-806d6172696f}\"BaseClass" = "Drive"
Ищет на всех дисках файлы с расширением xls и дописывает в их начало 2 КБ случайных данных, сдвигая оригинальное содержимое.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски, обеспечивая при помощи файла autorun.inf запуск червя при подключении диска к системе.
Временно выводит из строя все документы Excel (XLS), добавляя в начало 2 КБ случайных данных. Зная об этой особенности червя, документы можно восстановить, удалив эти данные.
источник: Symantec.com
lastmylove
23.04.2008, 14:53
W32.Bancotrep@mm
Признаки
При запуске создает в корне системного диска видеофайл (WMV) под именем, аналогичным имени загруженной копии червя. Затем запускает воспроизведение файла.
Тем временем, червь создает в директории Windows (далее %Windir%) следующие файлы:
* GbiehItau.dll
* GbiehCef.dll
* GbiehBank.dll
* Scoop2008.dll
* %Windir%\Scpad.exe
* %Windir%\wiadebug.dat
Во временной директории (далее %Temp%) создается файл .tmp со случайным именем. Файл .tmp со случайным именем также создается в поддиректории Temp директории Windows. В директории для приложений (Program Files) создаются файлы rundll32.exe и wiadebug.txt.
В реестре создаются следующие подключи:
* HKEY_CURRENT_ROOT\TypeLib\{F4C8A477-E4FA-4CF9-BE78-77A4AC92E3B0}
* HKEY_CURRENT_ROOT\TypeLib\{6B884B91-DD57-4523-99BC-5E956AC4A887}
* HKEY_CURRENT_ROOT\TypeLib\{575A5373-B6FF-4BF0-9B03-2FDAAE897172}
* HKEY_CURRENT_ROOT\TypeLib\{46A32661-EC2B-4BE8-B5D4-FC0D5BDFC9DE}
* HKEY_CURRENT_ROOT\Interface\{F6EF044F-7174-4A75-BC4D-30A78A0D1C26}
* HKEY_CURRENT_ROOT\Interface\{EA1062D7-A264-4DCD-83E5-DC91CEF7E9F1}
* HKEY_CURRENT_ROOT\Interface\{82822504-7751-4A47-A252-4BDEC92E0C7F}
* HKEY_CURRENT_ROOT\Interface\{5A9CC74A-5093-4F8D-8157-348669C34C59}
* HKEY_CURRENT_ROOT\GbiehItau.GBIEHObj
* HKEY_CURRENT_ROOT\GbiehCef.GBIEHObj
* HKEY_CURRENT_ROOT\GbiehBank.GBIEHObj
* HKEY_CURRENT_ROOT\Scoop2008.GBIEHObj
* HKEY_CURRENT_ROOT\CLSID\{EDD47EE4-7E9C-45C0-9479-47F3CCED434A}
* HKEY_CURRENT_ROOT\CLSID\{BEEB2618-69CF-4CD9-9DD0-76886A003022}
* HKEY_CURRENT_ROOT\CLSID\{A3EB9BE6-2D35-49D4-B7A1-D36102642CFC}
* HKEY_CURRENT_ROOT\CLSID\{70C64D27-921E-455F-A25B-FC56E8DDDFE4}
Информирует атакующего о захвате компьютера, подключаясь к серверу smtps.uol.com.br.
Пытается похитить информацию об учетных записях ряда крупнейших бразильских онлайн-банков. Данные отправляются по адресу
[email protected].
Пытается загрузить свои копии с URL [http://]www.geocities.com/superdown2008/campeonatomundi[???]
Рассылает себя по адресам, найденным в Windows Live Contacts List.
Письмо содержит случайный адрес отправителя, тему "Fwd: Campeonato mundial de trepada!!!!", поле BCC:
[email protected], Reply-to:
[email protected], вложение campeonatomundialdetrepada.zip.
Тело сообщения:
Veja mapas e encontre as melhores rotas para fugir do transito com o Live Search Maps! Experimente ja! [http://]www.livemaps.com.br/index[???]
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется посредством массовой рассылки себя по электронной почте по адресам, взятым из списка контактов Windows Live Contacts List.
Крадет конфиденциальные данные из захваченной системы.
источник: Symantec.com
lastmylove
23.04.2008, 14:54
Trojan.Drondog
Признаки
При запуске копирует себя под случайным именем (с расширением exe) в директорию временных файлов текущего пользователя (%UserProfile%Local Settings\Temporary Internet Files\).
Записывает драйвер usbhdd.sys в директории drivers системной директории Windows. Регистрирует драйвер как сервис. Данный сервис отключает ряд приложений, отслеживающий несанкционированные изменения на жестком диске. Затем троян заменяет файл userinit.exe в системной директории Windows на вредоносный код, загруженный с URL [http://]1.0803071030.net/[???]. После этого сервис останавливается, его файл удаляется, как и сам троян, скопированный во временную директорию.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Загружает на компьютер дополнительный вредоносный код. Модифицирует файл userinint.exe в системной директории Windows. Отключает приложения, отслеживающие изменения системных файлов.
источник: Symantec.com
lastmylove
23.04.2008, 14:55
Trojan.Emifie
Признаки
Троян-эксплоит, размещается на вредоносных сайтах; при открытии сайта пытается эксплуатировать уязвимость и загрузить вредоносные файлы со следующих URL:
[http://]igloofamily.com/word[???]
[http://]igloofamily.com/word[???]
[http://]amrc.com.tw/css/sbc/sbc[???]
Загруженный файл - копию трояна типа Downloader - сохраняет в системной директории Windows под именем a.exe.
Псевдоним: EXPL_NEVAR.B (Trend Micro).
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троян для платформы Windows. Представляет собой эксплоит, размещаемый на вредоносных сайтах. При открытии страницы пытается эксплуатировать уязвимость в Microsoft Windows GDI к выполнению кода при открытии файлов EMF и WMF.
источник: Symantec.com
lastmylove
23.04.2008, 14:55
Trojan.Busdest
Признаки
При запуске создает в корне дисков C, D, E, F, G, O, K, J (если они присутствуют в системе) файлы с именем "a_a_a".
На каждом диске ищет файлы и перезаписывает их начало 1110 байтами определенных данных. Испорченность файлов может вызвать нестабильность работы системы.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троян для платформы Windows. Перезаписывает файлы, что может вызвать нестабильность работы системы.
источник: Symantec.com
lastmylove
23.04.2008, 14:55
Trojan.Erotpics
Признаки
При запуске создает файл %System%\CbEvtSvc.exe.
(Примечание: %System% - системная директория Windows, обычно c:\Windows\System32\)
Создает сервис с названием и отображаемым именем CbEvtSvc, автоматическим типом запуска, и строкой запуска "%System%\CbEvtSvc.exe -k netsvcs".
Для создания сервиса в реестре создаются следующие подключи:
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_CBEVTSVC
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\C bEvtSvc
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_CBEVTSVC
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\CbEvtSvc
Отправляет информацию о факте установки и о захваченной системе на сервер 207.10.234.217, после чего пытается загрузить оттуда дополнительные исполняемые файлы.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Предназначен для загрузки и запуска дополнительного вредоносного кода из интернета. Распространяется в спаме под видом архива эротических фото и видео различных знаменитостей.
источник: Symantec.com
lastmylove
23.04.2008, 14:56
Trojan.Fribet
Признаки
При запуске создает следующие файлы:
* %System%\ipsec.exe
* %System%\ipsec.dll
(Примечание: %System% - системная директория Windows, в NT/Vista это, обычно, C:\Windows\System32)
Обеспечивает себе автозагрузку при старте Windows. Для этого создает в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"DllName" = "C:\WINDOWS\system32\ipsec.dll"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Startup" = "FkStartup"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Shutdown" = "FkShutdown"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Asynchronous" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Impersonate" = "0"
Также создает в реестре подключ HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing и записи в нем:
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing\"classid" = "8947030077013410120C0BD707"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing\"memo" = "free tibet"
После вышеуказанных действий пытается загрузить файлы с сайта [http://]www.freetibet.lamalife.com.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Предназначен для загрузки дополнительного вредоносного кода из интернета. Распространяется через зараженные эксплоитами сайты, выступающие в поддержку автономии Тибета от Китая.
источник: Symantec.com
lastmylove
23.04.2008, 14:56
GoRecord
Признаки
Приложение не устанавливается самостоятельно.
При запуске создает директорию %UserProfile%\.gstreamer-0.10 (%UserProfile% - директория текущего пользователя).
Создает следующие файлы:
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].dat
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ]_nav.dat
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ]_navps.dat
* %UserProfile%\Local Settings\Temp\[СЛУЧАЙНЫЕ_СИМВОЛЫ].tmp
* C:\Documents and Settings\All Users\Desktop\GoRecord 2.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\GoRecord 2.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Privacy Policy.url
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Terms and Conditions.url
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Uninstall.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Website.url
* %ProgramFiles%\GoRecord2\Gfx.bin
* %ProgramFiles%\GoRecord2\GoRecord.exe
* %ProgramFiles%\GoRecord2\iconv.dll
* %ProgramFiles%\GoRecord2\intl.dll
* %ProgramFiles%\GoRecord2\libglib-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgmodule-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgobject-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgstaudio-0.10.dll
* %ProgramFiles%\GoRecord2\libgstaudioconvert.dll
* %ProgramFiles%\GoRecord2\libgstbase-0.10.dll
* %ProgramFiles%\GoRecord2\libgstcontroller-0.10.dll
* %ProgramFiles%\GoRecord2\libgstcoreelements.dll
* %ProgramFiles%\GoRecord2\libgstdecodebin.dll
* %ProgramFiles%\GoRecord2\libgstdirectsound.dll
* %ProgramFiles%\GoRecord2\libgstflump3dec.dll
* %ProgramFiles%\GoRecord2\libgsticydemux.dll
* %ProgramFiles%\GoRecord2\libgstid3demux.dll
* %ProgramFiles%\GoRecord2\libgstinterfaces-0.10.dll
* %ProgramFiles%\GoRecord2\libgstlevel.dll
* %ProgramFiles%\GoRecord2\libgstneon.dll
* %ProgramFiles%\GoRecord2\libgstogg.dll
* %ProgramFiles%\GoRecord2\libgstreamer-0.10.dll
* %ProgramFiles%\GoRecord2\libgstriff-0.10.dll
* %ProgramFiles%\GoRecord2\libgsttag-0.10.dll
* %ProgramFiles%\GoRecord2\libgsttypefindfunctions.d ll
* %ProgramFiles%\GoRecord2\libgstvolume.dll
* %ProgramFiles%\GoRecord2\libgstvorbis.dll
* %ProgramFiles%\GoRecord2\libgstwavparse.dll
* %ProgramFiles%\GoRecord2\libgthread-2.0-0.dll
* %ProgramFiles%\GoRecord2\libxml2.dll
* %ProgramFiles%\GoRecord2\ogg.dll
* %ProgramFiles%\GoRecord2\resources\config.bin
* %ProgramFiles%\GoRecord2\resources\musics.s3db
* %ProgramFiles%\GoRecord2\resources\radios.s3db
* %ProgramFiles%\GoRecord2\sqlite3.dll
* %ProgramFiles%\GoRecord2\uninst.exe
* %ProgramFiles%\GoRecord2\vorbis.dll
* %ProgramFiles%\GoRecord2\zlib1.dll
* %System%\nvs2.inf
* %Windir%\Temp\msksetup.log
В реестре создает следующие подключи:
* HKEY_CURRENT_USER\Software\GoRecord
* HKEY_CURRENT_USER\Software\LanConfig
* HKEY_LOCAL_MACHINE\SOFTWARE\GoRecord
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\GoRecord
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\[СЛУЧАЙНЫЕ_СИМВОЛЫ]
Обеспечивает себе автозагрузку вместе с Windows. Для этого создает в реестре следующую запись:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"[СЛУЧАЙНЫЕ_СИМВОЛЫ]" = "C:\Documents and Settings\administrator\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe [СЛУЧАЙНЫЕ_СИМВОЛЫ]"
Может записать в систему копию трояна Trojan.Skintrim.
Пытается подключиться к сайту gorecord.com.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Приложение для платформы Windows (GoRecord, v2.0.0.7, назначение: музыкальный каталог). Содержит в себе Trojan.Skintrim, который записывается в систему при старте приложения).
источник: Symantec.com
lastmylove
23.04.2008, 14:57
WinXProtector
Признаки
Приложение не инсталлируется самостоятельно.
При установке программа создает следующие файлы:
* %UserProfile%\Application Data\WinXProtector\base.dat
* %UserProfile%\Application Data\WinXProtector\base2.dat
* %UserProfile%\Application Data\WinXProtector\Desc.dat
* %UserProfile%\Application Data\WinXProtector\spline.dat
* %UserProfile%\Application Data\WinXProtector\WinXProtector.ini
* %UserProfile%\Application Data\WinXProtector\log.dat
* %UserProfile%\Start Menu\Programs\WinXProtector\Purchase License.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\Support Page.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\WinXProtector Uninstall.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\WinXProtector.lnk
* %ProgramFiles%\WinXProtector\Buy.url
* %ProgramFiles%\WinXProtector\Help.url
* %ProgramFiles%\WinXProtector\Uninstall.exe
* %ProgramFiles%\WinXProtector\WinXProtector.exe
Обеспечивает себе автозагрузку при каждом старте системы, делая запись в реестре:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"WinXProtector" = "C:\Program Files\WinXProtector\WinXProtector.exe"
Также создает в реестре следующие записи:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Uninstall\WinXProtector\"DisplayName" = "WinXProtector 2.1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Uninstall\WinXProtector\"UninstallString" = "C:\Program Files\WinXProtector\Uninstall.exe"
* HKEY_CURRENT_USER\Software\WinXProtector\"ID" = "3966"
ЗАЩИТА
Для удаления приложения используйте антивирусную программу, содержащую определение WinXProtector в базе.
Действие
Потенциально нежелательное приложение для платформы Windows. Представляет собой фальшивый антивирус; после сканирования отображает данные о несуществующих вредоносных программах, предлагает заплатить за версию, которая сможет устранить угрозы.
Распространитель приложения: WinXProtector.com.
источник: Symantec.com
lastmylove
23.04.2008, 14:58
AntiSpywareExpert
Признаки
Приложение не устанавливается автоматически; это должен сделать пользователь.
При установке создает следующие файлы:
* %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\AntiSpywareExpert.lnk
* %UserProfile%\Desktop\AntiSpywareExpert.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\AntiSpywareExpert\AntiSpywareExpert. lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\AntiSpywareExpert\Uninstall AntiSpywareExpert.lnk
* %ProgramFiles%\AntiSpywareExpert\ase.exe
В реестре создает запись, обеспечивающую автозагрузку при каждом запуске системы:
HKEY_CURRENT_USER\Software\AntiSpywareExpert\"AntiSpywareExpert" = "C:\Program Files\AntiSpywareExpert\ase.exe"
Также создает в реестре подключ HKEY_CURRENT_USER\Software\AntiSpywareExpert
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Нежелательное приложение для платформы Windows. Отображает сообщение о несуществующих угрозах, якобы найденных в системе, и предлагает устранить их после платной регистрации продукта.
Разработчик: AntiSpywareExpert Inc., версия 1.0.7.1.
источник: Symantec.com
lastmylove
16.05.2008, 06:56
Trojan.Qipian
При запуске создает в системной директории Windows (%System%) файлы, чье имя совпадает с именем запущенного файла-носителя, и расширениями .exe, .asf, .dfg и .wmv, а также файл с именем из случайных цифр и расширением .dat.
Создает в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\Control\"NewlyCreated" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\Control\"ActiveService" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Service" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"DeviceDesc" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"0" = "Root\LEGACY_MESSENGER\0000"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"Count" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\Control\"NewlyCreated" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\Control\"ActiveService" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Service" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"ConfigFlags"= "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"DeviceDesc" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"0" = "Root\LEGACY_MESSENGER\0000"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"Count" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"NextInstance" = "1"
Также модифицирует следующие записи реестра (создает их, если они не существуют):
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"Type" = "110"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"Start" = "2"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"ImagePath" = "C:\WINDOWS\system32\[ORIGINALLY EXECUTED FILE NAME].exe -k netsvcs"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"Type" = "110"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"Start" = "2"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"ImagePath" = "C:\WINDOWS\system32\[ORIGINALLY EXECUTED FILE NAME].exe -k netsvcs"
Журнал нажатых клавиш сохраняется в файле .hke с именем, совпадающим с именем первоначально запущенного носителя, в системной директории Windows.
Периодически отсылает данные и обновляет себя через URL [http://]packer.8800.org:53/3008[???] и [http://]nodns2.qipian.org/ccs[???].
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows с клавиатурным шпионом. Периодически отправляет данные - журнал нажатых клавиш - на сайт атакующего.
источник: Symantec.com
lastmylove
16.05.2008, 06:57
Trojan.Garntet
Признаки
При запуске создает драйвер %System%\drivers\[случайное_имя].sys.
Создает в реестре следующие ключи:
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[случайное_имя]
[случайное_имя] - то же, что и у .sys.
Затем загружает файл настроек с URL [http://]www.in-t-e-r-n-e-t.com/bootup.[???]
В зависимости от настроек, загружает дополнительный код со следующих URL:
* [http://]www.in-t-e-r-n-e-t.com/manifests/Notifi[???]
* [http://]www.in-t-e-r-n-e-t.com/manifests/UrlMoni[???]
* [http://]www.in-t-e-r-n-e-t.com/manifests/AppMana[???]
* [http://]www.in-t-e-r-n-e-t.com/core.10[???]
* [http://]www.in-t-e-r-n-e-t.com/UrlMonitor[???]
* [http://]www.in-t-e-r-n-e-t.com/AppManager[???]
* [http://]www.in-t-e-r-n-e-t.com/Notifier.[???]
Создает из загруженных компонентов файл %System%\drivers\core.cache.dsk.
Собирает о компьютере следующие данные:
* IP
* Версия ОС
* ID продукта ОС
* Название используемого браузера
* Версия браузера
* Данные о User Agent
Данные отправляются по URL [http://]www.i-nt-e-r-n-e-t.com/c[???]
Троян скрывает себя с использованием руткита.
Открывает "черный ход" на захваченном компьютере. Список функций:
* Загрузка файлов удаленно
* Выполнение файлов
* Модификации в реестре
* Отслеживает сетевую активность
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Открывает на захваченном компьютере "черный ход" и загружает из интернета дополнительный вредоносный код.
источник: Symantec.com
lastmylove
16.05.2008, 06:58
Trojan.Virantix.C
Признаки
При запуске создает следующие файлы:
* %System%\dllcache\figaro.sys
* %System%\braviax.exe
#R%system
Перезаписывает следующие файлы файлом figaro.sys:
* %Windir%\drivers\beep.sys
* %System%\dllcache\beep.sys
* %System%\drivers\beep.sys
(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)
Для активации файлов figaro.sys и braviax.exe перезагружает компьютер.
После перезагрузки троян отображает сообщение от имени Windows о зараженности системы:
Your computer is infected!
Windows has detected spyware infection!
It is recomended to use special antispyware tools to prevent data loss. Windows will now download and install the most up-to-date antispyware for you.
Click here to protect your computer from spyware!
Затем создает следующие файлы:
* %текущая_директория%\delself.bat
* %System%\univrs32.dat
Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"braviax" = "%System%\braviax.exe"
Модифицирует в реестре записи, ослабляющие защиту системы:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"AntiVirusDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"FirewallDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"UpdatesDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"AntiVirusDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"FirewallDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"UpdatesDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\EnableFirewall" = "00000000"
Модифицирует в реестре настройки защиты доступа в интернет через Internet Explorer:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"2500" = "03000000"
Также модифицирует следующие настройки реестра:
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"EnableBrowserExtensions" = "yes"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"SearchBar" = "http://www.google.com/ie"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"SearchPage" = "http://www.google.com"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"StartPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"Default_Search_URL" = "http://www.google.com/ie"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"SearchPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"StartPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Search\"SearchAssistant" = "http://www.google.com"
Пытается загрузить нежелательное приложение с URL [http://]www.softcashier.com/members/link[удалено]
На момент написания заметки это было приложение WinReanimator.
Затем может завершить следующие процессы:
* aluschedulersvc.exe
* appsvc32.exe
* apvxdwin.exe
* ashmaisv.exe
* ashserv.exe
* ashwebsv.exe
* autoruns.exe
* avciman.exe
* avengine.exe
* avgagent.exe
* avgamsvr.exe
* avgas.exe
* avgas.exe
* avgcc.exe
* avgemc.exe
* avgemc.exe
* avgupsvc.exe
* avgupsvc.exe
* avgw.exe
* avgw.exe
* avp.exe
* avpcc.exe
* avpm.exe
* avsched32.exe
* avz.exe
* bdmcon.exe
* bdss.exe
* bolenja.exe
* bolenjx.exe
* cavrid.exe
* cavtray.exe
* ccapp.exe
* ccevtmgr.exe
* ccevtmgr.exe
* ccimscan.exe
* ccproxy.exe
* ccpwdsvc.exe
* ccpwdsvc.exe
* ccpxysvc.exe
* ccsetmgr.exe
* ccsetmgr.exe
* ccsvchst.exe
* combo.exe
* combofix
* comboxfix.exe
* cpd.exe
* cpf.exe
* crypserv.exe
* cureit.exe
* defwatch.exe
* dsentry.exe
* dss.exe
* eyetidecontroller.exe
* farsighter.exe
* fatbuster.exe
* fsav32.exe
* fsbl.exe
* f-sched.exe
* fsm32.exe
* f-stopw.exe
* fwservice.exe
* gcasdtserv.exe
* gcasserv.exe
* globkill.exe
* gmer.exe
* hackmon.exe
* hbtoeaddon.exe
* hijackthis
* hitvirus.exe
* hwpe2.exe
* iao.exe
* icmon.exe
* inetupd.exe
* ismini.exe
* isnotify.exe
* issvc.exe
* issvc.exe
* kav.exe
* kavss.exe
* kavsvc.exe
* killbox.exe
* klpf.exe
* klswd.exe
* kmd.exe
* kpf4ss.exe
* little_helper2.exe
* livesrv.exe
* lsasrv.exe
* lsass32.exe
* lsetup.exe
* lucoms~1.exe
* magiclink.exe
* malscr.exe
* malswep.exe
* mcshield.exe
* msmpeng.exe
* msssrv.exe
* mwsoemon.exe
* myvideodaily2.exe
* navapp.exe
* navapsvc.exe
* navapsvc.exe
* navapsvc.exe
* navilog
* navstub.exe
* navw32.exe
* nisum.exe
* njexplor.exe
* nlsupervisorpro.exe
* no32mon.exe
* nod32krn.exe
* nod32ra.exe
* nortonupdate.exe
* nsmdtr.exe
* nvctrl.exe
* ofcdog.exe
* op_mon.exe
* outpost.exe
* overseer.exe
* overspy.exe
* pavfnsvr.exe
* pavfnsvr.exe
* pavprsrv.exe
* pavsrv51.exe
* pbcpl.exe
* pboptions.exe
* pifsvc.exe
* prevxcsi.exe
* prevxcsi.exe
* printer.exe
* procmast.exe
* psctrls.exe
* pshost.exe
* psimsvc.exe
* pskmssvc.exe
* rootkit_detektive.exe
* rtvscan.exe
* sandboxieserver.exe
* savscan.exe
* savscan.exe
* sbserv.exe
* sdfix.exe
* sdtrayapp.exe
* sndmon.exe
* sndsrvc.exe
* spbbcsvc.exe
* spyblock.dll
* spybot.exe
* spybotsd.exe
* spywaredetector.exe
* superantispyware.exe
* svcntaux.exe
* svcntaux.exe
* swdsvc.exe
* swdsvc.exe
* symlcsvc.exe
* symlcsvc.exe
* symwsc.exe
* thguard.exe
* tpsrv.exe
* trjscan.exe
* vundofix.exe
* winavxx.exe
* zclient.exe
* zcodec.exe
* zcomservice.exe
Пытается предотвратить загрузку следующих драйверов:
* bc_hassh_f.sys
* bcfilter.sys
* bcftdi.sys
* vsdatant.sys
* watchdog.sys
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Отображает сообщение о зараженности системы от имени Windows, пытается загрузить из интернета нежелательные приложения, завершает антивирусные приложения.
источник: Symantec.com
lastmylove
16.05.2008, 06:58
Infostealer.Fertippy
Признаки
При запуске проверяет/создает мутекс "i_iut7gtjuhj221v2", обеспечивающий однократное присутствие копии трояна в памяти.
Создает в реестре следующие записи:
* HKEY_USERS\S-1-5-21-2022063256-1342405650-1969242035-500\Software\ Microsoft\Windows\CurrentVersion\Internet Settings\"GlobalUserOffline" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplicati ons\List\"[путь к трояну]" = "[путь к трояну]:*:Enabled:ipsec"
Собирает реквизиты доступа к FTP из приложений "Total Commander", "FAR Manager" и "CuteFTP".
В случае обнаружения реквизитов, подключается к серверам и внедряет iframe в следующие файлы, если они найдены:
* index.htm
* main.htm
* default.htm
* index.php
* main.php
* default.php
Iframe (плавающая рамка) указывает на сайт [http://]money2008.org.
Данные об учетных записях отправляются по URL [http://]89.149.227.194.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Ищет в системе реквизиты доступа к FTP, подключается к серверам и внедряет код загрузки других сайтов в определенные HTML-файлы. Данные о реквизитах отправляются атакующему на веб-сервер.
источник: Symantec.com
lastmylove
16.05.2008, 07:00
Adware.Okcashbackmall
Признаки
При запуске создает следующие файлы:
* %ТекущаяДиректория%\tmp_1023921881.exe
* %ТекущаяДиректория%\DelZip179.dll
* %ДиректорияПрофиляПользователя%\Desktop\[Корейские_Символы].lnk
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ProgramFiles%\cashbackkorea\auction.ico
* %ProgramFiles%\cashbackkorea\cashbackkorea.dll
* %ProgramFiles%\cashbackkorea\cashbackkoreabar.dll
* %ProgramFiles%\cashbackkorea\shoppingmall.zip
* %ProgramFiles%\cashbackkorea\uninstall.exe
* %ProgramFiles%\cashbacksys\auction.ico
* %ProgramFiles%\cashbacksys\cashbacksys.dll
* %ProgramFiles%\cashbacksys\cashbacksysbar.dll
* %ProgramFiles%\cashbacksys\shoppingmall.zip
* %ProgramFiles%\cashbacksys\uninstall.exe
* %ProgramFiles%\mizane\auction.ico
* %ProgramFiles%\mizane\mizane.dll
* %ProgramFiles%\mizane\mizanebar.dll
* %ProgramFiles%\mizane\shoppingmall.zip
* %ProgramFiles%\okcashbackmall\uninstall.exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\icons.dll
* %System%\img1.flv
* %System%\img2.flv
* %System%\tempfiles_[RANDOM NUMBERS].exe
* %System%\zadwqblw[Случайные_символы].exe
* %System%\zadwqblw[Случайные_символы].exe
Обеспечивает себе автозагрузку при каждом запуске системы. Для этого создает в реестре следующие записи:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwppx.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwpvl.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwrsq.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"
Также создает в реестре следующие подключи:
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{1DE525ED-EF71-4119-8C3C-1CE5315ADA74}
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{D04358AE-CE03-4A26-9F02-69C4D3A5267F}
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\User Agent
* HKEY_CLASSES_ROOT\CLSID\{1DDE8A86-89D8-4B55-A936-65C40B6A8DD0}
* HKEY_CLASSES_ROOT\CLSID\{1DE525ED-EF71-4119-8C3C-1CE5315ADA74}
* HKEY_CLASSES_ROOT\CLSID\{4D2D9681-C234-47A3-B499-9CEE26FF54C2}
* HKEY_CLASSES_ROOT\CLSID\{7AC1D6D1-B83B-4D77-A916-839F90216BC7}
* HKEY_CLASSES_ROOT\CLSID\{D04358AE-CE03-4A26-9F02-69C4D3A5267F}
* HKEY_CLASSES_ROOT\cashbackkorea.cashbackkorea.com
* HKEY_CLASSES_ROOT\cashbackkoreabar.cashbackkorea
* HKEY_CLASSES_ROOT\cashbacksys.cashbacksys.com
* HKEY_CLASSES_ROOT\cashbacksysbar.cashbacksys.com
* HKEY_CLASSES_ROOT\mizane.mizane.com
* HKEY_CLASSES_ROOT\mizanebar.mizane.com
* HKEY_CLASSES_ROOT\okcashbackmall.okcashbackmall.co m
* HKEY_CLASSES_ROOT\okcashbackmallbar.okcashbackmall .com.Bar
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{1DDE8A86-89D8-4B55-A936-65C40B6A8DD0}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{4D2D9681-C234-47A3-B499-9CEE26FF54C2}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{7AC1D6D1-B83B-4D77-A916-839F90216BC7}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows cashbackkorea Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows cashbacksys Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows mizane Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\okcashbackmall Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\cashbackkorea
Затем подключается к URL [http://]okcashbackmall.com/down/ho[???] и загружает оттуда файлы. Файлы сохраняются как:
* %ProgramFiles%\mizane\uninstall.exe
* %ProgramFiles%\okcashbackmall\okcashbackmall.dll
* %ProgramFiles%\okcashbackmall\okcashbackmallbar.dl l
Файл okcashbackmall.dll регистрируется как вспомогательный объект браузера (BHO) 1DDE8A86-89D8-4B55-A936-65C40B6A8DD0, использующийся для отслеживания работы браузера и периодического перенаправления.
ЗАЩИТА
Для удаления приложения используйте антивирусную программу, содержащую ее определение в своих базах. Затем удалите созданные приложением элементы реестра при помощи "Редактора реестра" (regedit.exe).
Действие
Adware для платформы Windows. Может перенаправлять браузер на другие веб-страницы без ведома пользователя.
Имя приложения: okcashbackmall install, версия 1.0.0.0.
источник: Symantec.com
lastmylove
16.05.2008, 07:04
W32.Madag.A
Признаки
При запуске создает следующие файлы:
* %System%\export\services.exe
* %System%\normal.dot
* c:\Windows\winsyst.exe
* c:\WINDOWS\winnt.exe
Примечание: %System% - системная директория Windows (для NT..Vista, обычно, C:\Windows\System32)
Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующие записи:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"this free" = "c:\Windows\winsyst.exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"vbwq cute" = "c:\WINDOWS\winnt.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogin\"Shell" = "Explorer.exe c:\WINDOWS\winnt.exe"
Также модифицирует в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\CurrentControlSet\Cont rol\SafeBoot\"AlternateShell" = "c:\WINDOWS\winsyst.exe"
* HKEY_CLASSES_ROOT\.inf\"Default" = "txtfile"
* HKEY_CLASSES_ROOT\.reg\"Default" = "txtfile"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "2"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"SuperHidden" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Folder\SuperHidden\"CheckedValue" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Folder\SuperHidden\"DefaultValue" = "0"
Распространяется копированием себя в корень съемных дисков под именем Thoojloi.exe. Там же создает файл автозапуска autorun.inf, обеспечивающий автозагрузку вышеуказанного .exe при подключении диска к системе. Autorun.inf имеет атрибуты "системный" и "скрытый".
"Заражает" файлы Microsoft Word (.doc): записывает себя в начало, перемещая оригинальное содержимое в конец файла, и переименовывает расширение документа в .exe. При запуске такого файла открывает работоспособный документ.
Может завершать приложения, в заголовках окон которых содержатся следующие строки:
* .task
* anti
* application data
* command prompt
* compact
* compiler
* delphi
* detect
* hacker
* hijack
* killbox
* movzx
* process
* registry
* security
* superdat
* system32
* vbde
* virus
* visual
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием на съемные носители и "заражает" документы Word (.doc), переименовывая их в .exe с сохранением содержимого.
источник: Symantec.com
lastmylove
16.05.2008, 07:04
VBS.Solow.F
Признаки
При запуске копирует себя как %Windir%\bhotiok.dll.vbs
(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)
Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"bhotiok" = "%Windir%\bhotiok.dll.vbs"
Через реестр заменяет заголовки окон Internet Explorer и Notepad ("Блокнот")
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "Careful [удалено] is already jogging . . . saon na lang?"
* HKEY_CURRENT_USER\Software\Microsoft\Notepad\Main\"Window Title" = "Careful [удалено] is already jogging . . . saon na lang?"
Может отображать сообщение: [удалено]'s best chicharon
Распространяется копированием себя в корень всех дисков, которым присвоена буква, под именем bhotiok.dll.vbs.
Там же (кроме диска A:) создает файл autorun.inf, обеспечивающий автозапуск исполняемого файла при подключении диска к системе.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows, написанный на языке Visual Basic Script. Распространяется копированием на съемные диски.
источник: Symantec.com
lastmylove
16.05.2008, 07:05
W32.Wowinzi.A
Признаки
Может попасть на компьютер через вредоносные веб-страницы.
При запуске создает следующие файлы:
* %System%\windows.txt
* %Windir%\Tasks\0x01xx8p.exe
(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)
(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)
Также создает следующме файлы - копии spoolsv.exe:
* %Windir%\Tasks\SysFile.brk
* %Windir%\Tasks\spoolsv.ext
Модифицирует следующие файлы:
* %System%\dllcache\spoolsv.exe
* %System%\spoolsv.exe
Возможна установка в систему и запуск следующих компонентов:
* %Temp%\dat[случайное_16ричное_число].tmp (Hacktool.Rootkit)
* %Temp%\dat[случайное_16ричное_число].tmp (Infostealer.Gampass)
(Примечание: %Temp% - директория для временных файлов)
Копирует себя на все диски, которым присвоена буква, в корень, под именем MSDOS.bat. Там же создает файл autorun.inf, обеспечивающий автозапуск MSDOS.bat при подключении диска к системе.
Удаляет из системы файл %System%\verclsid.exe
Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Shell" = "%System%\Rundll32.exe %System%\shell32.dll Control_RunDLL %Temp%\dat[случайное_16ричное_число].tmp"
СОздает в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Data\Config\"http://winzipices.cn/1.exe" = "http://winzipices.cn/1.exe"
* HKEY_CURRENT_USER\_reg\"Shell" = "%System%\Rundll32.exe %System%\shell32.dll Control_RunDLL %Temp%\dat[случайное_4значное_16ричное_число].tmp"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"RxMru" = [двоичные_данные]
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"mrulist" =" %Temp%\dat[случайное_4значное_16ричное_число].tmp"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"sysfile" = "%System%\1.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E25C29A B-12B9-4523-A53C-324B5FBA648C}\InProcServer32\"(Default Value)" = "%Temp%\dat[случайное_16ричное_число].tmp"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\ShellExecuteHooks\"{E25C29AB-12B9-4523-A53C-324B5FBA648C}" = "0"
Запрашивает настройки с сайта [http://]winzipices.cn/confi[удалено]
В зависимости от содержания файла настроек, может выполнить следующие действия:
* Загрузить в систему и выполнить файл
* Собрать из файлов адреса электронной почты
* Заразить исполняемые файлы
* Скопировать себя на все диски
* Скопировать себя на доступные сетевые ресурсы
* Встроить вредоносный код в веб-страницы на компьютере
Затем загружает и выполняет свою копию с URL [http://]winzipices.cn/[удалено]
Собирает конфиденциальную информацию; данные отправляет на URL [http://]winzipices.cn/tong/post[удалено]
Открывает в системе "черный ход", который пытается подключиться к серверу 61.134.37.15:1800/TCP.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь-троян для платформы Windows. Распространяется копированием себя на все диски, которым присвоена буква. Модифицирует исполняемые файлы. Загружает в систему дополнительный вредоносный код. Похищает конфиденциальную информацию.
источник: Symantec.com
lastmylove
16.05.2008, 07:05
JS.Faizal
Признаки
При запуске копирует себя как %System%\faizal.js
(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)
Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"faizal" = "wscript.exe C:\WINDOWS\system32\faizal.js"
Также создает в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\WinLogon\"LegalNoticeCaption" = "FAIZAL"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\WinLogon\"LegalNoticetext" = "You have been infected by FAIZAL virus"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Software\Microsoft\Win dows\CurrentVersion\Policies\Explorer\NoClose\Soft ware\Microsoft\Windows\CurrentVersion\Policies\Exp lorer\NoRun\Software\Microsoft\Windows\CurrentVers ion\Policies\Explorer\NoDrives\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "faizal"
Распространяется копированием в корень всех дисков, которым присвоена буква. На диски копируются файлы faizal.js и AutoRun.inf. Последний обеспечивает червю автозапуск при подключении диска к системе.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Написан на языке JavaScript. Распространяется копированием на все диски, которым присвоена буква.
источник: Symantec.com
lastmylove
16.05.2008, 07:05
W32.Zapinit
Признаки
При запуске создает следующие файлы:
* %System%\ntpl.bin
* %System%\sbmf.ln
(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)
Также копирует файлы, принадлежащие Backdoor.Zapinit:
* %System%\cc.ln
* %System%\lght.ln
* %System%\msnf.ln
* %System%\nvrsma.dll
* %System%\pryx.ln
Также создает файл журнала %Windir%\sys.log
(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)
Модифицирует файлы:
* %System%\dllcache\user32.dll
* %System%\user32.dll
В результате Windows при старте обращается не к стандартному разделу реестра, отвечающему за автозапуск, а к установленному червем (см.ниже).
Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"pjpInit_Dlls" = "nvrsma"
Оригинальный файл user32.dll копируется под случайным именем в %System%.
Создает в реестре следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"st" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"mid" = "[HEXADECIMAL CHARACTERS]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"dwn" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"ccnt" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"nhr" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\1
* HKEY_LOCAL_MACHINE\SOFTWARE\6
* HKEY_LOCAL_MACHINE\SOFTWARE\7
* HKEY_LOCAL_MACHINE\SOFTWARE\8
* HKEY_LOCAL_MACHINE\SOFTWARE\9
Пытается подключиться к следующим URL:
* [http://]66.36.241.45/sdb/gate/[удалено]
* [http://]66.36.241.45/sdb/gate/data[удалено]
Распространяется копированием на совместно используемые сетевые ресурсы, подключаясь к учетной записи "Administrator".
В случае защищенности паролем, подбирает его по словарю:
* !@#
* 00
* 1
* 11
* 1212
* 123
* 123456
* 13
* 1313
* 666
* 777
* adm
* admin
* administrator
* asa
* pass
* password
* q
* qaz
* qazxsw
* qqq
* qwerty
* test
* zaq
* zaqwsx
* zzz
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием на совместно используемые сетевые ресурсы (network shares), в частности, подбирая простые пароли. Устанавливает в системе копию Backdoor.Zapinit.
источник: Symantec.com
lastmylove
16.05.2008, 07:06
W32.Mariofev.A
Признаки
При запуске создает следующие файлы:
* %System%\[случайное имя]
* %System%\bmf.cs
* %System%\ccs.so
* %System%\gh.l
* %System%\mn.n
* %System%\ntpl.bin
* %System%\nvrsma.dll
* %System%\yl.po
Также может создавать следующие файлы:
* %System%\acl.exe
* %System%\MarioForever.exe
* %текущий_диск%:\MarioForever.exe
(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)
Модифицирует следующие файлы:
* %System%\dllcache\user32.dll
* %System%\user32.dll
Создает следующие записи в реестре:
* HKEY_LOCAL_MACHINE\SOFTWARE\[число]\"[34значное_16ричное_число]" = "[случайные_данные]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"ztpInit_Dlls" = "nvrsma"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"ccnt" = "[количество_попыток_заражения]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"mid" = "[случайные_16ричные_данные]"
Может удалять в реестре записи, принадлежащие антивирусным, защитным и некоторым другим приложениям. Определяет их по следующим строкам:
* *\shellex\ContextMenuHandlers\NOD32 Context Menu Shell Extension
* AllFilesystemObjects\shellex\ContextMenuHandlers\S pySweeper
* ALWIL Software\Avast
* Arovax AntiSpyware
* Chilkat Software, Inc.
* ComputerAssociates\eTrustPestPatrol
* Doctor Web, Ltd.
* FRISK Software International
* Grisoft\AVGAntiSpyware
* KasperskyLab
* McAfee\McAfee AntiSpyware
* McAfee\VirusScan
* Panda Software
* PepiMK Software\SpybotSnD
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\Ad-aware 6 Personal
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\Ad-Aware SE Personal
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\AntiVir PersonalEdition Classic
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\ClamAV
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\SpywareBlaster_is1
* SOFTWIN\BitDefender Desktop\Maintenance\Install
* Spyware Begone!
* Symantec\Symantec AntiVirus
* SYSTEM\ControlSet001\Services\avgntflt
* SYSTEM\CurrentControlSet\Services\WinDefend
* Ukranian Antivirus center
* Vba32
* VMware, Inc.
* VMware, Inc.\VMware Tools
Создает сервис с автоматическим типом запуска, именем SCNa, отображаемым именем "SCNa Service".
Регистрирует сервис через реестр, создавая подключ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SCNa.
Может подключаться к URL для отчета о захвате системы и возможном обновлении себя:
* [http://]66.36.241.45/sdb/gate/[удалено]
* [http://]66.36.241.45/sdb/gate/data[удалено]
Распространяется копированием на совместно используемые сетевые ресурсы.
В случае защищенности ресурса паролем, пытается подобрать его по словарю:
* !@#
* 1212
* 123
* 123456
* 1313
* 666
* 777
* adm
* admin
* administrator
* asa
* pass
* password
* qaz
* qazxsw
* qqq
* qwerty
* test
* zaq
* zaqwsx
* zzz
Пытается копировать себя в корень всех дисков, которым присвоена буква, под именем acl.exe.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на совместно используемые сетевые ресурсы (network shares) и диски, которым присвоена буква.
источник: Symantec.com
Dimonssss
18.05.2008, 10:40
Пользователи сайта "ВКонтакте.Ру" стали жертвами компьютерного вируса
16 мая 2008 | 21:21
Подробности
По материалам: РИА "Новости"
Пользователи популярной социальной сети "ВКонтакте.Ру" стали жертвами серьезной вирусной эпидемии, говорится в сообщении компании "Доктор Веб", служба вирусного мониторинга которой зарегистрировала вредоносную программу.
В сообщении уточняется, что причиной эпидемии стал опасный сетевой "червь", который рассылает с инфицированных машин другим пользователям сети "ВКонтакте.Ру" ссылку на картинку в формате jpeg, ведущую на ресурс злоумышленника в интернете (http://******.misecure.com/deti.jpg). Реально же сервер передает по этой ссылке исполняемый файл deti.scr, который и является непосредственно сетевым "червем".
Будучи запущенным на компьютере жертвы, червь сохраняет на диске саму картинку, которая и вызвала любопытство неосторожного пользователя, и запускает штатное приложение, используемое в системе для просмотра файлов jpeg. Таким образом, пользователь видит то, что ожидал увидеть, не подозревая, что стал жертвой злоумышленника.
Между тем, скопировав себя в папку на жестком диске компьютера жертвы под именем svc.exe, "червь" устанавливается в системе в качестве сервиса Durov VKontakte Service и ищет пароль к доступу к "ВКонтакте.Ру". Если пароль находится, то "червь" получает доступ ко всем контактам своей жертвы в данной сети и рассылает по этим контактам все ту же ссылку.
"Червь" несет в себе опасную деструктивную функцию. 25 числа каждого месяца в 10 часов утра на экране компьютера будет выводиться следующее сообщение (орфография сохранена): "Павел Дуров Работая с "ВКонтакте.РУ" Вы ни разу не повышали свой рейтинг и поэтому мы не получили от Вас прибыли. За это Ваш компьютер будет уничтожен! Если обратитесь в милицию, то сильно пожалеете об этом!". Одновременно с этим начнется удаление с диска C всех файлов.
"Если пользователь будет достаточно долго вчитываться в данный текст и предастся размышлениям относительно его содержания, он рискует потерять не только все системные файлы, но и свои файлы данных - документы, фотографии, электронные письма и многое другое", - предостерегают эксперты "Доктор Веб".
"Поэтому самое лучшее действие при появлении такого сообщения - немедленное выключение питания компьютера, что позволит, по крайней мере, сохранить если не все данные, то хотя бы их часть", - советуют они.
В сообщении также отмечается, что специалисты компании "Доктор Веб" предупредили об опасности сайт "ВКонтакте.Ру", в результате чего распространение червя практически прекратилось. Тем не менее, специалисты компании рекомендуют пользователей сайта, которые посмотрели картинку на названном выше ресурсе, проверить свой компьютер на вирусы.
lastmylove
22.05.2008, 09:09
W32.Tufik.E
Признаки
При запуске создает следующие файлы:
* %System%\mscrss.exe
* %System%\mscrss.dll
* %System%\[случайные буквы].tmp
* %Windir%\Temp\[случайные цифры].tmp
* %Windir%\Temp\[случайные цифры].tmp_TMP.exe
* %Temp%\[случайные цифры].tmp
* %Temp%\[случайные цифры].tmp_TMP.exe
(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)
Создает сервис "Windows Workstation".
Создает в реестре следующие записи:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats\{C1498DA0-135E-46EA-B01B-86042A31ED82}
* HKEY_CURRENT_USER\TypeLib\{C1498DB2-135E-46EA-B01B-86042A31ED82}
* HKEY_CURRENT_USER\Interface\{C1498DBF-135E-46EA-B01B-86042A31ED82} HKEY_CURRENT_USER\IEFalgObj.IEFalgObj
* HKEY_CURRENT_USER\IEFalgObj.IEFalgObj.1 HKCR\CLSID\{C1498DA0-135E-46ea-B01B-86042A31ED82
* HKEY_USERS\.default\Software\Microsoft\Windows\Cur rentVersion\Ext\Stats\{C1498DA0-135E-46EA-B01B-86042A31ED82}
Ищет на всех дисках файлы:
* .cgi
* .php
* .jsp
* .asp
* .html
* .htm
Встраивает в них рамку:
Копирует себя на все диски:
* \Config.Msi\mscrss.exe
* \Config.Msi\[имя_первоначально_запущенного_файла]
* \AutoRun.inf
Заражает все .exe - файлы на всех дисках.
Пытается загрузить файл с URL: [http://]ieopen.yhgames.com/iedown/down/upbh[удалено]
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Вирус-червь для платформы Windows. Заражает исполняемые файлы (.exe), копирует себя на все диски, которым присвоена буква, а также внедряет в html-файлы код обращения к вредоносному сайту.
источник: Symantec.com
lastmylove
27.05.2008, 07:32
DisaCKT.B
Признаки
При старте создает следующие файлы:
* Microsoft Office Word 2003.exe - в директорию меню "Пуск"
* MY CV.EXE - в корне диска C:
* MY CV.EXE - в директории, куда установлена Windows (далее %windir%)
Копирует себя на все диски, которым присвоена буква.
Создает в реестре запись, обеспечивающую автозапуск при каждом старте Windows:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ Mswinword = %windir%\My CV.exe
Отключает следующие функции системы:
* Редактор реестра
* Диспетчер задач
* Пункт "Поиск" в меню "Пуск"
* Пункт "Выполнить" в меню "Пуск"
* Пункт "Свойства папки" в "Проводнике"
Для этого устанавливает в реестре следующие значения, соответственно:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableRegistryTools = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableTaskMgr = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFind = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoRun = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFolderOptions = 1
Обеспечивает себе автозапуск вместе с msconfig:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ App Paths\ MSCONFIG.EXE \ Path = %windir%\My CV.exe
Запрещает запуск Редактора реестра, msconfig, Диспетчера задач, Microsoft Management Console, Group Policy Editor, командной консоли (cmd.exe). Для этого вносит в Реестр следующие записи:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 1 = Regedit.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 2 = MSConfig.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 3 = taskmgr.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 4 = MMC.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 5 = gpedit.msc
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 6 = Cmd.exe
Написан на языке Visual Basic 6.0.
Техническое название от Panda Security - W32/DisaCKT.B.worm.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски, имеет встроенную иконку документа Word.
Легко распознается визуально: кнопка "ПУСК" ("START") меню Windows заменяется на "NUM", в меню "ПУСК" появляется пункт "Microsoft Office Word 2003.exe".
Отключает ряд функций интерфейса Windows для усложнения своего обнаружения.
источник: PandaSecurity.com
Вирус подмены страниц
В последнее время появилось вредоносное программное обеспечение нового типа – программы, созданные для искажения страниц в браузере пользователя.
В строгом понимании термина «вирус» эти программы вирусами не являются, однако механизм их работы очень похож на деятельность вирусов, поэтому условимся называть такое ПО «вирусом подмены страниц». При обращении пользователя, компьютер которого заражен таким вирусом, к поисковой системе вирус изменяет один из результатов поиска. Таким образом, пользователь переходит не на сайт, найденный поисковой системой, а на какой-то другой.
Эта проблема существует для всех популярных поисковиков – для Яндекса, Google, Рамблера, MSN (Live). Кроме того, вирус может подменять не только страницы с результатами поиска, а вообще любые сайты.
Вирус подмены страниц может попасть на компьютер вместе с какой-нибудь программой, загруженной из интернета. Например, вместе с бесплатным ускорителем закачки файлов BitAccelerator, который предоставляется файлообменным сервисом Letitbit.net. Вместе с этой программой пользователь скачивает скрытую библиотеку. Эта библиотека остается на компьютере пользователя и при удалении BitAccelerator.
* Вирус подменяет html-код страницы с результатами поиска, подставляя вместо одного из результатов ссылку и описание другого сайта. Дизайн и общий вид подмененной позиции похожи на обычные результаты поиска, но сам сайт к заданному запросу отношения не имеет. Например, по запросу [самолет] выводится порносайт, или по запросу [Яндекс] – сайт другой компании. Если задать тот же самый запрос еще раз, нерелевантный сайт исчезнет из результатов поиска.
* Другой вариант появился позднее, возможно, вследствие того, что пользователи меньше кликали по нерелевантным ответам. По запросу пользователя страница выдачи не изменяется, но при переходе по одному из первых результатов поиска вирус переадресовывает пользователя на другой сайт.
Вирус подмены страниц используется для воровства и продажи трафика – с его помощью можно получить, по самым скромным оценкам, несколько сот тысяч переходов в день. Переходы пользователей продаются рекламодателям как контекстная реклама.
* Рекламодатель заказывает рекламу сайта по определенным ключевым словам. Эти слова передаются в программу, работающую на удаленном сервере злоумышленников.
* Когда пользователь заходит с зараженного компьютера на сайт какой-нибудь поисковой системы и вводит запрос в строке поиска, вирус активизируется и передает запрос на сервер мошенников. Если этот запрос содержится в программе, в ответ приходит адрес сайта, который подставляется в выдачу поисковика.
* Пользователь переходит по ложной ссылке и уходит, решив, что поисковая система дала ему нерелевантный ответ. При этом вирус модифицирует HTTP-запрос таким образом, что в логи посещенного сайта записывается переход с рекламной сети мошенников – поэтому рекламодатель заплатит за этот переход.
В результате проигрывают все – кроме авторов вируса, конечно. Пользователь не находит нужную информацию. Рекламодатель платит за нецелевой трафик. Поисковая система теряет репутацию – обнаружив последствия работы вируса подмены, некоторые пользователи обвиняют поисковики в продаже мест на первых страницах выдачи.
До недавнего времени антивирусные компании классифицировали вирусы подмены страниц просто как рекламный софт – не особо полезный, но вроде бы и не вредный. Сейчас большинство производителей антивирусов перевели вирусы подмены страниц в класс вредоносного и опасного ПО. Антивирусы компаний Dr.Web, «Лаборатория Касперского», ESET (NOD32), Panda Security обнаруживают и автоматически удаляют все известные версии вируса подмены страниц.
Источник (http://webmaster.ya.ru/replies.xml?item_no=924&ncrnd=5352)
lastmylove
04.07.2008, 06:44
W32.Stayt.A
При запуске создает свою копию:
* %UserProfile%\Local Settings\Temp\[случайные_символы].tmp
(Примечание: %UserProfile% - директория, в которой хранятся настройки и временные файлы приложений и системы для текущего пользователя).
Загружает исполняемый файл с URL: [http://]ip.windowsupdeta.cn/e/ip.[???]
Пытается завершить следующие процессы:
* kav.exe
* kv.exe
* avp.exe
* rav.exe
* KVSrvXP.exe
* KVSrvXP_1.exe
* MCshield.exe
* 360Safe.exe
Заражает все исполняемые файлы на всех доступных дисках.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Вирус для платформы Windows NT. Заражает исполняемые файлы, обнаруженные на дисках. Пытается загрузить исполняемый файл из интернета.
источник: Symantec.com
lastmylove
04.07.2008, 06:46
W32.Xpaj
При запуске создает несколько временных файлов:
* %UserProfile%\Local Settings\Temp\[случайное_имя].tmp
(Примечание: %UserProfile% - директория системных настроек и файлов приложений для текущего пользователя)
Далее, заражает случайным образом на всех дисках файлы .exe, .dll и .sys, не защищенные системой Windows File Protection.
(Примечание: файлы .sys после заражения могут работать нестабильно.)
Создает свою копию ([случайное имя].exe) в корне всех дисков; там же создает файл автозапуска autorun.inf, содержащий в параметре "open" имя .exe.
Собирает пароли, сохраненные в кэшах, имя пользователя и имя компьютера, и отправляет их по одному из следующих URL
* [http://]salviaforfree.com/up.[???]
* [http://]salviaforfree.com/up.[???]
* [http://]salviaforfree.com/up.[???]
* [http://]neverforgetthis.info/log[???]
Также может связываться с сайтами:
* www.gracefullsystemupdate.com
* www.ms-word.net
Вирус-червь также пытается загружать и выполнять другие исполняемые файлы.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Вирус-червь для платформы Windows. Распространяется копированием на все диски и заражением файлов .exe, .dll и .sys. Инфицированные файлы увеличиваются в размерах на 90.112-98.304 байта. Собирает пароли, сохраненные в кэше, и отправляет атакующему вместе с именем компьютера и пользователя.
источник: Symantec.com
lastmylove
16.07.2008, 13:21
Spyware.NokKernel
При старте программа создает следующие файлы:
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Help.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\NokNet.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Uninstall.lnk (created in non-hidden installation)
* %System%\Pf[RANDOM NUMBER].dat
* %System%\a_$$$_.tmp
* %Windir%\Temp\JET[случайное имя].tmp
* %Windir%\NokNet.EXE
* %Windir%\NokNet.HLP
* %Windir%\UNSTALLE.EXE
* %Windir%\UNSTTALW.EXE
* %UserProfile%\Local Settings\Temp\$$$1.TMP
* %UserProfile%\Local Settings\Temp\$$$2.TMP
* %System%\DRIVERS\w32ins.sys
* %System%\Nok_install.exe
(%SystemDrive% - системный диск, %System% - системная директория Windows, %Windir% - директория, в которую установлена Windows, %UserProfile% - директория системных настроек, настроек приложений и временных файлов для текущего пользователя)
Через реестр обеспечивает автозагрузку при каждом старте системы:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce\"NokKernel install" = "%System%\Nok_install.exe"
Также создает следующие записи в реестре:
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\"NextInstance" = "1"
Для двух своих сервисов создает следующие подключи в реестре:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\w32ins
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\fsram
Собранная информация сохраняется в файлах со случайными именами в директориях:
* %SystemDrive%\System Volume Information\{2933BF90-7B36-11d2}
* %SystemDrive%\Nok-Kernel_data_center
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Шпионская программа для платформы Windows. Собирает данные о нажатых клавишах, открытых файлах, посещенных URL, полученных и отправленных электронных письмах, и скриншоты, сделанные через определенные промежутки времени.
Название приложения: NokNet Workstation Monitor. Разработчик: Spin Networks, версия 1.2.090.
источник: Symantec.com
lastmylove
16.07.2008, 13:21
Spyware.NokKernel
При старте программа создает следующие файлы:
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Help.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\NokNet.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Uninstall.lnk (created in non-hidden installation)
* %System%\Pf[RANDOM NUMBER].dat
* %System%\a_$$$_.tmp
* %Windir%\Temp\JET[случайное имя].tmp
* %Windir%\NokNet.EXE
* %Windir%\NokNet.HLP
* %Windir%\UNSTALLE.EXE
* %Windir%\UNSTTALW.EXE
* %UserProfile%\Local Settings\Temp\$$$1.TMP
* %UserProfile%\Local Settings\Temp\$$$2.TMP
* %System%\DRIVERS\w32ins.sys
* %System%\Nok_install.exe
(%SystemDrive% - системный диск, %System% - системная директория Windows, %Windir% - директория, в которую установлена Windows, %UserProfile% - директория системных настроек, настроек приложений и временных файлов для текущего пользователя)
Через реестр обеспечивает автозагрузку при каждом старте системы:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce\"NokKernel install" = "%System%\Nok_install.exe"
Также создает следующие записи в реестре:
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\"NextInstance" = "1"
Для двух своих сервисов создает следующие подключи в реестре:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\w32ins
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\fsram
Собранная информация сохраняется в файлах со случайными именами в директориях:
* %SystemDrive%\System Volume Information\{2933BF90-7B36-11d2}
* %SystemDrive%\Nok-Kernel_data_center
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Шпионская программа для платформы Windows. Собирает данные о нажатых клавишах, открытых файлах, посещенных URL, полученных и отправленных электронных письмах, и скриншоты, сделанные через определенные промежутки времени.
Название приложения: NokNet Workstation Monitor. Разработчик: Spin Networks, версия 1.2.090.
источник: Symantec.com
lastmylove
16.07.2008, 13:22
Adware.Peppi
Приложение не устанавливается самостоятельно; пользователь должен установить его сам.
При запуске приложение создает следующие файлы:
* %UserProfile%\Start Menu\Programs\peppi_vorlagen\peppi (Vorlagen-Wizzard).lnk
* C:\Program Files\peppi_vorlagen\license.txt
* C:\Program Files\peppi_vorlagen\lisys.exe
* C:\Program Files\peppi_vorlagen\peppi.exe
* C:\Program Files\peppi_vorlagen\uninstall.bat
* %System%\system\host.exe
(%UserProfile% - директория системных настроек и файлов текущего пользователя;
%System% - системная директория Windows)
Через реестр обеспечивает себе автозагрузку при старте Windows:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"vhost" = "%System%\host.exe"
Также создает в реестре записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\peppi (Vorlagen-Wizzard)\"DisplayName" = "peppi (Vorlagen-Wizzard)"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\peppi (Vorlagen-Wizzard)\"UninstallString" = "C:\Program Files\peppi_vorlagen\lisys.exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\"AutoConfigURL" = "file://%UserProfile%\Application Data\proxy.pac"
* HKEY_CURRENT_USER\Software\Policies\Microsoft\Wind ows\CurrentVersion\Internet Settings\"EnableAutoProxyResultCache" = "0"
Подключается к удаленному серверу (89.107.66.239) для получения инструкций от атакующего.
Приложение может изменять результаты поиска, загружаемые с поисковых порталов, отображать рекламу и заменять стартовую страницу Internet Explorer.
Разработчик: Synatix GmbH
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Приложение для платформы Windows, отображающее рекламу без ведома пользователя. Модифицирует содержимое веб-страниц поисковых систем с результатами поиска, внедряя туда рекламу. Изменяет домашнюю страницу браузера Internet Explorer.
источник: Symantec.com
lastmylove
16.07.2008, 13:23
PestSweeper
При запуске программа создает следующие файлы:
* %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\pestsweeper.lnk
* %UserProfile%\Desktop\pestsweeper.lnk
* %UserProfile%\Local Settings\Application Data\Microsoft\Windows\sav.exe
* %UserProfile%\Local Settings\Temp\sav.exe
* %UserProfile%\Local Settings\Apps\2.0\srw94.exe
* C:\Documents and Settings\All Users\Start Menu\Programs\PestSweeper\pestsweeper on the Web.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\PestSweeper\pestsweeper.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\PestSweeper\Uninstall pestsweeper.lnk
* %ProgramFiles%\PestSweeper\alarm.wav
* %ProgramFiles%\PestSweeper\click.wav
* %ProgramFiles%\PestSweeper\config.cfg
* %ProgramFiles%\PestSweeper\dbinfo
* %ProgramFiles%\PestSweeper\dll\def2.base
* %ProgramFiles%\PestSweeper\dll\defbase0.db
* %ProgramFiles%\PestSweeper\dll\defbase1.db
* %ProgramFiles%\PestSweeper\dll\defbase2.db
* %ProgramFiles%\PestSweeper\dll\defbase3.db
* %ProgramFiles%\PestSweeper\dll\defbase4.db
* %ProgramFiles%\PestSweeper\dll\defbase5.db
* %ProgramFiles%\PestSweeper\dll\defbase6.db
* %ProgramFiles%\PestSweeper\dll\defbase7.db
* %ProgramFiles%\PestSweeper\dll\defbase8.db
* %ProgramFiles%\PestSweeper\dll\immunization.pl
* %ProgramFiles%\PestSweeper\dll\license
* %ProgramFiles%\PestSweeper\dll\sig2.base
* %ProgramFiles%\PestSweeper\dll\sigrules.rul
* %ProgramFiles%\PestSweeper\dll\update.scr
* %ProgramFiles%\PestSweeper\pestsweeper.exe
* %ProgramFiles%\PestSweeper\pestsweeper.url
* %ProgramFiles%\PestSweeper\success.wav
* %ProgramFiles%\PestSweeper\unins000.dat
* %ProgramFiles%\PestSweeper\unins000.exe
* %Windir%\system\cmsd.exe
* %Windir%\system\MsWin000.exe
* %SystemRoot%\winxplogon.sys
(%UserProfile% - директория с системными настройками и временными файлами для текущего пользователя,
%ProgramFiles% - директория по умолчанию, куда устанавливаются все приложения,
%Windir% - директория, в которую установлена Windows,
%SystemRoot% - корневая директория системы (обычно, C:\Windows))
Создает в реестре запись, обеспечивающую автозапуск при каждом старте Windows:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"pestsweeper" = "C:\Program Files\PestSweeper\pestsweeper.exe"
Также создает в реестре подключи:
* HKEY_CURRENT_USER\Software\pestsweeper
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\PestSweeper_is1
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MenuOrder\Start Menu\Programs\PestSweeper
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MenuOrder\Start Menu2\Programs\PestSweeper
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Фальшивый антивирус для платформы Windows. Отображает сообщения о несуществующих вредоносных программах, найденных в системе, и предлагает оплатить полную версию для их удаления.
источник: Symantec.com
lastmylove
16.07.2008, 13:25
Trojan.Ditsec
При запуске создает следующие файлы в директории "C:\ Documents and Settings\ Administrator\ Application Data\ Microsoft\ dtsc\":
* [случайное_имя].exe
* s
В директории по умолчанию, куда устанавливаются приложения (далее %ProgramFiles%), создает директорию "uTorrent". Туда из интернета загружает приложение uTorrent и запускает его, тем самым превращая систему в узел файлообменной сети. Также загружает из интернета приложение для сжатия исполняемых файлов, UPX.
Обеспечивает себе автозапуск при каждой загрузке Windows. Для этого делает в реестре запись:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run\ "Microsoft Windows Installer" = "C:\ Documents and Settings\ Administrator\ Application Data\ Microsoft\ dtsc\ [случайное имя].exe"
Загружает и запускает вредоносный файл типа "Downloader" (по классификации Symantec) с URL [http://]83.64.217.125/tor/maint[???]
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
* Удалить приложение uTorrent и утилиту UPX (если они необходимы, рекомендуется загрузить их самостоятельно с сайтов разработчика)
Действие
Троян для платформы Windows. Загружает и устанавливает на компьютер утилиту сжатия EXE-файлов UPX и torrent-приложение uTorrent. Последнее запускает. Также загружает с удаленного сервера вредоносную программу типа "Downloader" (по классификации Symantec).
источник: Symantec.com
lastmylove
16.07.2008, 13:26
Trojan.Downexec.B
При запуске предпринимает шаги по отключению "навесных" защит: загружает NTOSKRNL.EXE и получает оттуда оригинальную таблицу дескрипторов KeServiceDescriptorTable. Также считывает %System%\drivers\atapi.sys для получения оттуда оригинальной таблицы Dispatch Table. Данные таблицы позволяют трояну обращаться к функциям системы, минуя возможные антивирусные и защитные перехватчики.
Может изменить системную дату на 2000 год.
Сохраняет копию содержащегося в нем руткита как C:\[16_случайных_16ричных_цифр].dat.
Устанавливает в данном файле оригинальные копии KeServiceDescriptorTable и Dispatch Table, полученные ранее.
Регистрирует и запускает руткит как сервис:
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[16_случайных_16ричных_цифр]
Руткит пытается модифицировать в памяти драйвера с целью отключения защит. Список драйверов:
* \Device\Harddisk0
* \Driver\ProtectedC
* \Driver\Disk
* \Driver\SafeDog
После этого файл руткита удаляется.
Пытается завершить следующие процессы:
* ravmon.exe
* ravmond.exe
* ccenter.exe
* 360SafeBox.exe
* 360tray.exe
* safeBoxtray.exe
* kavstrat.exe
* kissvc.exe
* CCSVCHST.EXE
Для постоянного пребывания в системе заражает файл Explorer.exe (зараженный файл определяется антивирусом Symantec как Trojan.Downexec.B!inf. Вследствие ошибки реализации алгоритма, копия Explorer.exe становится неработоспособной в случае удаления трояна из системы.
Открывает драйвер "\\.\PhysicalDrive0" и считывает оттуда MBR и Partition Tables (главную загрузочную запись жесткого диска и таблицу разделов).
Если первый раздел использует FAT32 или NTFS (что характерно для всех компьютеров, где установлена только Windows), троян сохраняет копию зараженного Explorer.exe в последнем секторе этого раздела.
Далее троян запускает Internet Explorer в скрытом режиме и встраивает в него свой код. Строка запуска: "%ProgramFile%\IEXPLORER.EXE -nohome".
Пытается загрузить файлы в директорию %Temp% с URL (hxxp = http):
* hxxp://mm.mmlan.com.cn/mm.txt [61.188.39.244]
* hxxp://why38.cn/xz/xz.txt [219.152.120.125]
Загруженные файлы содержат список адресов, с которых необходимо загрузить дополнительный вредоносный код:
* hxxp://47834mp4.cn/xz/x.exe
* hxxp://47834mp4.cn/xz/a.exe
* hxxp://47834mp4.cn/mm/1.exe
* hxxp://47834mp4.cn/mm/2.exe
* hxxp://47834mp4.cn/mm/3.exe
* hxxp://47834mp4.cn/mm/4.exe
* hxxp://47834mp4.cn/mm/5.exe
* hxxp://47834mp4.cn/mm/6.exe
* hxxp://47834mp4.cn/mm/7.exe
* hxxp://47834mp4.cn/mm/8.exe
* hxxp://47834mp4.cn/mm/9.exe
* hxxp://47834mp4.cn/mm/10.exe
* hxxp://47834mp4.cn/mm/11.exe
* hxxp://47834mp4.cn/mm/12.exe
* hxxp://47834mp4.cn/mm/13.exe
* hxxp://47834mp4.cn/mm/14.exe
* hxxp://47834mp4.cn/mm/15.exe
* hxxp://47834mp4.cn/mm/16.exe
* hxxp://47834mp4.cn/mm/17.exe
* hxxp://47834mp4.cn/mm/18.exe
* hxxp://47834mp4.cn/mm/19.exe
* hxxp://47834mp4.cn/mm/20.exe
* hxxp://47834mp4.cn/mm/21.exe
* hxxp://47834mp4.cn/mm/22.exe
* hxxp://47834mp4.cn/mm/23.exe
* hxxp://47834mp4.cn/mm/24.exe
* hxxp://47834mp4.cn/mm/25.exe
* hxxp://47834mp4.cn/mm/26.exe
* hxxp://47834mp4.cn/mm/27.exe
* hxxp://47834mp4.cn/mm/28.exe
* hxxp://47834mp4.cn/mm/29.exe
* hxxp://47834mp4.cn/mm/30.exe
* hxxp://47834mp4.cn/mm/31.exe
* hxxp://47834mp4.cn/mm/32.exe
* hxxp://47834mp4.cn/mm/33.exe
* hxxp://47834mp4.cn/mm/34.exe
Далее троян создает файл самоудалеия "delme.bat".
ЗАЩИТА
Для удаления трояна и его компонентов необходимо использовать антивирус, содержащий их определения в базе сигнатур.
Действие
Троян для платформы Windows. Предназначен для загрузки в систему и запуска дополнительных вредоносных исполняемых файлов.
источник: Symantec.com
lastmylove
16.07.2008, 13:27
W32.Xpiro
Признаки
Вирус может попасть в систему, будучи загруженным из интернета или по электронной почте во вложении.
Загружает и выполняет исполняемый файл с URL: [http://]vntkr.com/img/btn/wm/mm.[???]
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Вирус для платформы Windows. Заражает исполняемые файлы .EXE на всех дисках. Может загружать и запускать файлы из Интернета по заданному URL.
источник: Symantec.com
lastmylove
16.07.2008, 13:28
X97M.Teteon
Признаки
Вирус находится в документах Microsoft Excel. При открытии документа создает в нем скрытый рабочий лист (worksheet) "!IamHere", где размещает свое тело - макрос "Tetenoz".
ЗАЩИТА
Для удаления вируса необходимо проверить все документы Microsoft Office антивирусом, содержащим определение X97M.Teteon в базе сигнатур.
Действие
Макровирус для Microsoft Excel / Microsoft Office. Заражает все открытые документы Excel.
Проявляется визуально, выводя сообщение "Stupid User Experienced".
источник: Symantec.com
Worm.Win32.GetCodec
Вирус Worm.Win32.GetCodec.a конвертирует mp3-файлы в формат WMA (при этом сохраняя расширение mp3) и добавляет в них маркер, содержащий в себе ссылку на зараженную web-страницу. Маркер активируется автоматически во время прослушивания файла и приводит к запуску браузера Internet Explorer, который переходит на инфицированную страницу. На этой страничке пользователю предлагается скачать и установить некий файл, выдаваемый за кодек. Если пользователь одобряет установку, то на его компьютер загружается троянская программа Trojan-Proxy.Win32.Agent.arp, с помощью которой злоумышленник получает контроль над атакованным ПК. Причём файл, находящийся на подложной странице, обладает электронной цифровой подписью компании Inter Technologies и определяется выдавшим ЭЦП ресурсом http://www.usertrust.com как доверенный. Стоит отметить, что до этого случая формат WMA использовался троянскими программами только в качестве маскировки, то есть зараженный объект не являлся музыкальным файлом.
По словам вирусных аналитиков, особенностью данного червя является заражение чистых аудиофайлов. Аналитики отмечают, что вирус подобного рода повышает вероятность успешной атаки, поскольку пользователи обычно с большим доверием относятся к собственным медиафайлам и не связывают их с опасностью заражения.
Источник compulenta.ru
lastmylove
24.07.2008, 09:08
Pushdo.C
Отправляет атакующему следующие данные:
* IP-адрес
* Версия ОС
* Серийный номер жесткого диска
* Тип файловой системы
* Является ли пользователь администратором
* Версия трояна
* Время работы трояна в системе
Проверяет наличие в памяти следующих процессов, отправляет атакующему результаты проверки. Список процессов:
* ARMOR2NET.EXE
* AVP.EXE
* BLACKD.EXE
* DRWEB32W.EXE
* IPFSRV.EXE
* KPF4SS.EXE
* LIVESRV.EXE
* MCAGENT.EXE
* MCLOGSRV.EXE
* MCPROMGR.EXE
* MCTSKSHD.EXE
* MCUIMGR.EXE
* MCUPDMGR.EXE
* MCUSRMGR.EXE
* MPSEVH.EXE
* NOD32KRN.EXE
* NPFSVICE.EXE
* OUTPOST.EXE
* PAVFNSVR.EXE
* PAVSRV51. EXE
* PXAGENT.EXE
* SAFENSEC.EXE
* SSPFWTRY2. EXE
* SYMLCSVC.EXE
* VSMON.EXE
* VSSERV.EXE
* XCOMMSVR.EXE
Открывает на компьютере "черный ход", через который атакующий может запрашивать данные, а также получать другие инструкции, в частности, на загрузку других исполняемых файлов.
При запуске создает файл-драйвер ???48.SYS в поддиректории Drivers системной директории Windows. (??? - три случайных символа).
Обеспечивает себе автозагрузку даже в "Безопасном режиме", записывая в реестр следующие ключи:
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ SafeBoot\ Minimal\???48.sys \ (Default) = Driver
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Enum\ Root\ LEGACY_???48 \ NextInstance = 01, 00, 00, 00
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Enum\ Root\ LEGACY_???48\ 0000\ Control \ ActiveService = ???48
Написан на языке Visual C++.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Распространяется в спаме, предлагающем загрузить поздравительную открытку. Внешне не проявляется. Собирает данные о компьютере и отправляет их атакующему, загружает в систему дополнительный вредоносный код.
источник: Pandasecurity.com
lastmylove
24.07.2008, 09:09
Downloader.Diliv
При запуске модифицирует файл userinit.exe, находящийся в системной директории Windows, копируя оригинальный в ту же директорию под именем userini.exe.
После этого пытается загрузить файл с URL (http) fixaserver.ru/ldr/gate[???].
На момент обнаружения, по URL содержался исполняемый файл типа Backdoor, открывающий "черный ход" в систему при установке.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Восстановить файл userinit.exe в системной директории Windows, скопировав его из userini.exe, если антивирус этого не сделал.
Действие
Троян для платформы Windows. Предназначен для загрузки в систему дополнительного вредоносного кода из интернета.
Поступает на компьютер в спаме в zip-вложении. Архив содержит файл-копию трояна: ups_invoice.exe.
источник: Symantec.com
lastmylove
24.07.2008, 09:09
Backdoor.Lancafdo
При запуске копирует себя в системную директорию Windows (далее %System%) под именем mssrv32.exe.
Регистрирует себя как системный сервис. Для этого добавляет в реестр следующие записи:
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ msupdate\"Type" = "00000010"
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ msupdate\"Start" = "00000002"
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ msupdate\"ObjectName" = "LocalSystem"
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ msupdate\"ImagePath" = "%System%\mssrv32.exe"
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ msupdate\"ErrorControl" = "00000000"
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ msupdate\"DisplayName" = "Microsoft security update service"
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ msupdate\"Description" = "This service downloading and installing Windows security updates"
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ AFD\Parameters\"DisableRawSecurity" = "00000001"
Сервис имеет следующие характеристики:
Отображаемое имя: Microsoft security update service
Путь к образу: %System%\mssrv32.exe
Тип запуска: автоматический.
Для обеспечения однократного присутствия в памяти, создает (проверяет) мутекс "{F3532CE1-0832-11B1-920A-25000A276A73}".
Встраивает себя в процесс %System%\svchost.exe.
Пытается подключиться к серверу сбора статистики о захваченных системах по URL [http://]cxim.inattack.ru/www3/www/stat[???]. На сервер отправляется имя компьютера, IP-адрес (определяется при заходе) и версия трояна.
Открывает "черный ход", предоставляя атакующему следующие возможности:
* Инициировать участие в DDoS-атаке (ICMP, TCP SYN, HTTP, UDP)
* Открыть заданный URL в Internet Explorer
* Загрузить в захваченную систему файл и запустить его
* Приостановить действие трояна
* Удалить троян из системы
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян типа Backdoor для платформы Windows. Предназначен для снабжения атакующего удаленным доступом к захваченной системе.
источник: Symantec.com
lastmylove
24.07.2008, 09:10
Trojan.Brisv.A
При запуске создает в реестре подключ:
HKEY_CURRENT_USER\Software\Microsoft\PIMSRV
Модифицирует следующие ключи реестра:
* HKEY_CURRENT_USER\ Software\ Microsoft\ MediaPlayer\ Preferences\ "URLAndExitCommandsEnabled" = "0"
* HKEY_CURRENT_USER\ Software\ Microsoft\ MediaPlayer\ Player\ Extensions\ .mp3\ "Permissions" = "21"
Проверяет/создает мутекс "PIMSRV1" для обеспечения однократного присутствия в памяти.
Ищет мультимедийные файлы со следующими расширениями:
* .asf
* .mp2
* .mp3
* .wma
* .wmv
Также ищет файлы .mp2 и .mp3 и преобразовывает их в формат WMA.
Встраивает в вышеуказанные файлы данные, которые приводят к автоматическому обращению Windows Media Player по ссылке при их открытии. Файлы увеличиваются в размере на 1.138 байт, Symantec определяет их как зараженные Trojan.Brisv.A!inf.
Псевдоним: W32/GetCodec-A (Sophos).
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Модифицирует мультимедийные файлы, внедряя в них ссылку на вредоносный URL при открытии в Windows Media Player.
источник: Symantec.com
lastmylove
01.08.2008, 18:08
Trojan.Wsnpoem
При запуске троян проверяет/создает один из мутексов для обеспечения однократного присутствия в памяти. Список мутексов:
* __SYSTEM__23D80F10__
* __SYSTEM__45A2F601__
* __SYSTEM__64AD0625__
* __SYSTEM__7F4523E5__
* __SYSTEM__91C38905__
Создает свою копию под именем ntos.exe в системной директории Windows (далее %System%).
Проверяет наличие процессов, принадлежащих брандмауэрам, outpost.exe и zlclient.exe, и выгружает их из памяти, если находит.
Создает файлы:
* %System%\wsnpoem\audio.dll
* %System%\wsnpoem\video.dll
Директории "wsnpoem", которая также создается трояном, присваиваются атрибуты "системная" и "скрытая".
Обеспечивает себе автозагрузку при каждом старте Windows, делая в реестре необходимые записи/модификации соответственно:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"userinit" = "%System%\ntos.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "%System%\userinit.exe, %System% \ntos.exe"
Пытается создать вредоносные threads во всех процессах, кроме CSRSS.EXE.
Троян может перехватывать или перенаправлять весь сетевой трафик.
В качестве метки о захвате системы троян может создать следующую запись в реестре:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\"UID" = "[имя_компьютера]_[уникальный_ID]"
После этого пытается загрузить файлы со следующих URL:
* [http://]blatundalqik.ru/panama/odess[???]
* [http://]blatundalqik.ru/panama/odess[???]
* [http://]blatundalqik.ru/panama/kiev[???]
* [http://]wfrules.ru/wfrule[???]
Открывает в системе три порта со случайными номерами и ожидает соединений с атакующим.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Открывает на компьютере "черный ход", способен загружать и запускать дополнительный вредоносный код.
источник: Symantec.com
lastmylove
01.08.2008, 18:10
W32.Azero.A
При запуске сохраняет себя как:
* %System%\Windows 3d.scr
* %System%\commandprompt.sysm
* %System%\desktop.sysm
* %UserProfile%\application data\Microsoft\[4 случайные буквы].exe
(%System% - системная директория Windows, %UserProfile% - директория с данными приложений и системы для текущего пользователя)
Также создает файлы:
* %System%\maxtrox.txt
* %UserProfile%\Application Data\Microsoft\[4 случайных цифры]
Также может создать файл "desktop.ini" в ряде директорий.
Также создает директории:
* %UserProfile%\applications data\excel
* %UserProfile%\applications data\media player
* %UserProfile%\applications data\Microsoft
* %UserProfile%\applications data\office
* %UserProfile%\applications data\Windows
* %UserProfile%\applications data\word
Обеспечивает себе автозагрузку при старте Windows, в т.ч. и в "Безопасном режиме". Для этого добавляет в реестр следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"VisualStyle" = "%System%\desktop.sysm"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Sa feBoot\"AlternateShell" = "%System%\commandprompt.sysm"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Sa feBoot\"AlternateShell" = "%System%\commandprompt.sysm"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\"AlternateShell" = "%System%\commandprompt.sysm"
Модифицирует настройки "Проводника" (explorer.exe), затрудняя свое визуальное обнаружение:
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "2"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\cabinetstate\"FullPathAddress"" = "0"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\HideFileExt\"checkedvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\HideFileExt\"defaultvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\ShowFullPath\"defaultvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\ShowFullPath\"uncheckedvalue" = "0"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\ShowFullPathAd dress\"defaultvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\ShowFullPathAd dress\"uncheckedvalue" = "0"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\SuperHidden\"checkedvalue" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Advanced\Folder\SuperHidden\"defaultvalue" = "1"
Создает в реестре записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.sysm\" @" = "system mechanic"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.sysm\defaulti con\"@" = "%System%\netsetup.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.sysm\shell\op en\command\"@" = "%1"
Заражает все файлы ".exe" в директории, используемой по умолчанию для установки приложений (обычно, "Program Files").
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Вирус для платформы Windows. Заражает исполняемые файлы формата "PE" с расширением ".exe" в директории "Program Files".
источник: Symantec.com
lastmylove
24.08.2008, 10:32
W32.Pavsee.A
При запуске заражает все файлы с расширениями ".com", ".exe" и ".scr" на всех дисках, начиная с системного (параметр %SystemDisk% берется из системы) и до J:, по алфавиту.
Заражение состоит в перезаписи собой первых 32 КБ оригинального файла, что делает файлы неработспособными. Может перезаписать важные системные файлы, что вызовет аварию системы и потребует ее переустановки.
Затем подключается к одному из серверов для загрузки своего обновления (в зашифрованном виде):
[http://]dns911.cn/kill[???]
[http://]122.224.9.151/kill[???]
[http://]baiduasp.web194.dns911.cn/kill[???]
[http://]www.lmok123.com/kill[???]
ЗАЩИТА
Перезапустить компьютер, используя консоль восстановления Windows (Windows Recovery Console). Отключить функцию восстановления системы для Windows Me/XP. Запустить антивирус, содержащий определение вредоносной программы в базе сигнатур. Переустановить приложения, пострадавшие от действия вируса.
Действие
Файловый перезаписывающий вирус (overwriting) для платформы Windows. Записывает себя в начало файлов с расширениями ".exe", ".com" и ".scr", что делает их нефункциональными; загружает свои обновления с удаленного сервера.
источник: Symantec.com
lastmylove
02.09.2008, 17:38
Autorun.ADF
Поступает по электронной почте в спам-рассылках с вложенным файлом "MY COMPLETED DOWNLDFX.EXE", который отображает изображение с инструкциями об упрощенном получении визы США и устанавливает червя.
При запуске создает следующие файлы:
* SMNPCL.DLL и SVCHOST.EXE в dllcache системной директории Windows
* BTTNSERV.EXE в grouppolicy системной директории Windows
* PICTURES.EXE в директории Windows и в корне диска C:
Крадет пароли, сохраненные в ряде директорий, соответствующих некоторым признакам. Похищенная информация отправляется атакующему на веб-сайт defech???paces.com.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Червь для платформы Windows. Поступает в спам-рассылках во вложенном исполняемом файле, отображающем изображение об упрощенном получении визы в США (на английском языке); распространяется копированием себя в корень всех дисков вместе с файлом автозапуска.
Крадет пароли, сохраняемые в определенных директориях, отправляет их атакующему.
источник: PandaSecurity.com
lastmylove
02.09.2008, 17:39
Trojan.Purplebot
При запуске создает следующие файлы:
* %WinDir%\system\msvideoavicap.exe
* %WinDir%\system\gbpsvblust.exe
(%WinDir% - директория, в которую установлена Windows)
Обеспечивает данным файлам автозагрузку при каждом старте системы, добавляя в реестр следующие записи:
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"msvideoavicap" = "C:\WINDOWS\system\msvideoavicap.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce\"gbpsvblust" = "C:\WINDOWS\system\gbpsvblust.exe"
Связывается с веб-сайтами для загрузки дополнительного кода:
* [http://]www.freeurl.kit.net/index[???]
* [http://]homemasterweb.brinkster.net/inde[???]
* [http://]www.zefloricuturanet.kit.net/index[???]
* [http://]65.49.0.77/~masterso/inde[???]
* [http://]www.ajudadeamor.kit.net/index[???]
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Загружает в систему и запускает дополнительные исполняемые вредоносные файлы.
источник: Symantec.com
lastmylove
02.09.2008, 17:39
Downloader.Swif.D
Может поступать в спам-рассылке, содержащей ссылку на swf-файл. При переходе по ссылке, и, таким образом, запуске SWF-файла, троян пытается связаться с веб-сайтом в диапазоне адресов http://89.197.x.x, где "x" - случайное число.
В случае удачной связи, троян загружает исполняемый файл в текущую директорию под случайным именем.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троян для платформы Windows. Загружает в систему дополнительный вредоносный код.
Может поступать в спам-рассылке, содержащей ссылку на swf-файл.
источник: Symantec.com
lastmylove
08.09.2008, 13:54
Lowzones.UH
При старте создает два файла со случайными именами - свои копии - в директории "Documents and Settings" текущего пользователя и в системной директории Windows.
Для обеспечения автозагрузки модифицирует в реестре запись "HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \\ Userinit", заменяя значение с "%sysdir%\userinit.exe" на "%sysdir%\userinit.exe, C:\Documents and Settings\%user%\%filename% \s".
(Примечание: %user% - имя текущего пользователя, %filename% - случайное имя файла, присвоенное копии червя при создании.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Крадет различные реквизиты доступа и отправляет их атакующему по электронной почте, используя почтовый сервис, доступный пользователю.
Визуально не проявляется.
источник: PandaSecurity.com
lastmylove
08.09.2008, 13:55
MeteorBot.A
При запуске создает файлы "FOTOS.EXE" и "ZY751UZ.JPG" в директории "C:\Extracted", а также файл "FOTO.EXE" в директории "Windows\Foto".
Через реестр обеспечивает себе автозагрузку при каждом старте Windows:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\Active Setup\ Installed Components\ {FD7DD491-D1A2-3E68-B399-C41EDA50AD09}
%windir%\foto\foto.exe s
Файл сжат упаковщиком Themida.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян-"backdoor" для платформы Windows. Поступает в виде файла с иконкой логотипа "Супермена" и именем "Iconos.exe". Размещает в системе фото подростка, которое отображает при запуске. Отправляет атакующему имя компьютера, IP-адрес и версию операционной системы, открывает в системе порт.
источник: PandaSecurity.com
lastmylove
08.09.2008, 13:56
AutoKitty.A
При запуске создает следующие файлы - свои копии:
* файл с именем, под которым был запущен, в поддиректории CACHE директории Windows
* файл с именем, под которым был запущен, в директории "/Picture" на всех дисках
* файлы DTSYSTRA.EXE и SYSHOST.EXE в системной директории Windows (далее %sysdir%)
* PROMON.EXE и DLCTRL.EXE в системной директории Windows
* MSSRC.EXE в поддиректории drivers в системной директории Windows
Через реестр обеспечивает себе автозапуск при каждом старте Windows. Записывает в раздел "HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run" следующие ключи:
* dlctrl = %sysdir%\dlctrl.exe
* mssrc = %sysdir%\drivers\mssrc.exe
* promon =%sysdir%\promon.exe
* dtsystra = %windir%\system\dtsystra.exe
* syshost = %windir%\system\syshost.exe
Через реестр отключает доступ к "Редактору реестра", "Диспетчеру задач", пункты "Выполнить", "Поиск" в меню "Пуск", пункт "Свойства папки" в меню "Проводника", соответственно:
* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System
DisableRegistryTools = 1
* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System
DisableTaskMgr = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoRun = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoFind = 1
* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoFolderOptions = 1
Отключает отображение контекстного меню по нажатию правой кнопки мыши:
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoTrayContextMenu = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoViewContextMenu = 1
Отключает командную оболочку, пункт меню "Поиск" в "Проводнике", функцию безопасной загрузки по "Ctrl+Alt+Supr", соответственно:
* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System
DisableCMD = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoShellSearchButton = 1
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT\Windows\CurrentVersion\Winlogon
DisableCAD = 1
Заменяет заголовок окна Internet Explorer:
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
Window Title = Yours truly, Kitty Kat
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer
EnableBalloonTips = 0
Отключает брандмауэр Windows:
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
DoNotAllowExceptions = 0
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
EnableFirewall = 0
* HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
DoNotAllowExceptions = 0
* HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
EnableFirewall = 0
Устанавливает новую стартовую страницу Internet Explorer:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Internet Explorer\ Main
Start Page = http://www.lyricsandsongs.com/song/759770.html
Модифицирует имя пользователя, на которое зарегистрирована система, и серийный номер продукта:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion
RegisteredOwner = KittyKat
* KEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion
ProductId = KITTY-KAT-LOVESSS-YOUUU
Отключает отображение скрытых и системных файлов и отображение расширений:
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ Folder\ Hidden\ SHOWALL
CheckedValue = 0
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ Folder\ HideFileExt
CheckedValue = 0
Копирует себя на все диски в директорию "\Picture", в корне размещает файл autorun.inf, обеспечивая автозапуск при подключении диска к системе.
Написан на языке программирования AutoIT.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Распространяется копированием себя на все диски. Поступает на компьютер в файле с иконкой, на которой изображен котенок, под именем "m_KITTYKAT.EXE". Заменяет стартовую страницу Internet Explorer на страницу с текстом песни на сайте текстов песен, заменяет заголовок окна Internet Explorer на "Yours truly, Kitty Kat". Заменяет имя пользователя, на которого зарегистрирован компьютер.
источник: PandaSecurity.com
lastmylove
16.09.2008, 16:06
PHilto.A
Троян устанавливает на компьютер adware NaviPromo, по классификации Panda Security; распространяется в спаме.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Троян для платформы Windows. Предлагает просмотреть видео с Пэрис Хилтон (Paris Hilton), отображая лицензионное соглашение на испанском языке. Соглашаясь, пользователь, таким образом, устанавливает себе на компьютер adware NaviPromo, который троян загружает из интернета, а также получает возможность просмотреть видео, которое загружается отдельно. Иконка исполняемого файла представляет собой фото Пэрис Хилтон.
источник: PandaSecurity.com
lastmylove
16.09.2008, 16:07
MSNBot.D
Собирает персональную информацию в системе: адреса электронной почты, учетные записи и пароли к ним, сохраняет их в текстовый файл и отправляет атакующему. Адреса также использует для рассылки своих копий.
Через реестр обеспечивает себе автозагрузку при каждом старте Windows. Записывает себя в установочную директорию Windows.
Написан в Испании. Язык программирования: Visual Basic.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Червь для платформы Windows. Собирает в системе адреса электронной почты, различные учетные записи с паролями, и отправляет их атакующему. Распространяется рассылкой себя по адресам электронной почты, найденным на компьютере жертвы. Вложенный файл имеет иконку с изображением логотипа MSN (Microsoft Network).
источник: PandaSecurity.com
lastmylove
27.09.2008, 17:58
Sinowal.VTJ
При старте создает в системной директории (%sysdir%) свою копию под именем OEMBIOS.EXE, и файлы SYSPROC32.SYS и SYSPROC86.SYS, в поддиректории sysproc64 в %sysdir%.
Троян обеспечивает себе автозагрузку при каждом старте Windows. Для этого он записывает путь к своей копии в соответствующем разделе реестра:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ WindowsNT\ CurrentVersion\ Winlogon Userinit = %sysdir%\oembios.exe
Текст письма, с которым приходит троян:
Тема: I am wait your reply
Текст:
To Whom It May Concern: To Whom It May Concern:
I am tired of receiving messages containing malicious computer programs (viruses) from your e-mail address!!! I am tired of receiving messages containing malicious computer programs (viruses) from your e-mail address!
If within 1-2 days you do not stop sending messages to my e-mail address, I will have to address this issue to the Police!: If within 1-2 days you do not stop sending messages to my e-mail address, I will have to address this issue to the Police!:
Today I received a hard copy of your data logs from my Internet service provider. Today I received a hard copy of your data logs from my Internet service provider. The copy contains your IP address, logs of sending malicious programs and your e-mail address details: The copy contains your IP address, logs of sending malicious programs and your e-mail address details:
I am sending you the copy of the document containing your data and logs of sending malicious programs as the proof of your fault!!!!!! I am sending you the copy of the document containing your data and logs of sending malicious programs as the proof of your fault !!!!!! You must print the document containing the list of your data and logs of sending malicious programs and pass it on to your Internet service provider with, so that they could find out why the viruses are sent from your computer to my e-mail address!!!! You must print the document containing the list of your data and logs of sending malicious programs and pass it on to your Internet service provider with, so that they could find out why the viruses are sent from your computer to my e-mail address! !
Ask your Internet service provider to resolve this problem!!!! Ask your Internet service provider to resolve this problem!!
Do this now!!! Do this now!
Once again!!! Once Again! If you dont stop sending the letters, I will address to the Police and file a lawsuit against you!!! If you dont stop sending the letters, I will address to the Police and file a lawsuit against you!
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Предназначен для кражи реквизитов и куки Internet Explorer.
Рассылается злоумышленниками в спаме; сообщение содержит текст на английском языке, обвиняющий получателя в рассылке вредоносных программ и угрозами обратиться в полицию. Сам троян прикреплен в файле "IPLOGS.zip", который представлен как журнал вирусных атак. Внутри находится сам троян, IPLOGS.exe, с иконкой документа PDF.
источник: PandaSecurity.com
lastmylove
27.09.2008, 17:58
Trojan.Eskiuel
При старте создает файл "dnary.mdb" в системной директории Windows (%System%). Там же создает директорию ZeHin, в которую загружает дополнительный вредоносный код.
Удаляет файлы %System%\ias\dnary.mdb и %System%\ias\ias.mdb.
Обеспечивает все необходимые права доступа в Сеть для приложения ftp.exe.
Снимает ограничения для недоверенных приложений и Jet Engine. Для этого модифицирует в реестре соответствующую запись:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Jet\ 4.0\ Engines\ "SandBoxMode" = "3"
При запуске трояну в командной строке передается IP-адрес (предполагается, что его запускают другие вредоносные программы). Троян сканирует подсеть класса B (x.x.*.*) на наличие SQL-серверов.
При обнаружении SQL-сервера пытается подобрать пароль администратора по словарю наиболее распространенных паролей. В случае успеха, отправляет команду на выполнение хранимых процедур (stored procedures), которые позволяют выполнить команды системы, понижающие уровень защиты системы.
Затем троян использует ftp.exe для загрузки дополнительного вредоносного кода с сайта SuperQ.Vicp.Cc.
Троян использует хранимые процедуры для распространения через SQL-серверы.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Win32 (NT, 2000, XP, Vista, Server 2003, Server 2008). Сканирует сеть на предмет SQL-серверов, подбирает пароли, пытается выполнить хранимую процедуру (stored procedure) для последующего выполнения командного файла, понижающего настройки защиты. Загружает дополнительный вредоносный код из интернета.
источник: Symantec.com
lastmylove
27.09.2008, 17:59
Goldun.TB
При старте создает следующие файлы в системной директории Windows (далее %sysdir%):
* RUNDLL32.EXE
* K86.BIN
* CABPCK.DLL
* KRNLCAB.SYS - файл руткита
Также создает в директории "Documents and Settings\Local Settings\Temp" текущего пользователя директорию "MSI_SETUP".
Через реестр регистрирует сервис, который может работать в обычном и "безопасном" режимах работы системы:
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Minimal\ krnlcab.sys
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Network\ krnlcab.sys
Также добавляет себя в список приложений, разрешенных к полному доступу в Сеть брандмауэром Windows:
HKEY_LOCAL_MACHINE\ System\ controlset001\ Services\ Sharedaccess\ parameters\ firewallpolicy\ standardprofile\ authorizedapplications\ List \ %sysdir%\rundll32.exe:*:Enabled:rundll32
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян для платформы Windows. Предназначен для кражи реквизитов платежных систем, в частности, E-Gold. Обходит брандмауэр Windows; скрывает свое присутствие в системе при помощи руткита.
Рассылается злоумышленниками в спаме от имени Internet Service Consortium. Письмо на английском языке обвиняет пользователя в незаконной деятельности в Сети (пиратстве) и сообщает о намерении отключить его от интернета. Троян находится во вложении "USER-EA49943X-ACTIVITIES.ZIP", которое позиционируется как журнал активности пользователя в Сети за последние полгода.
Оригинал письма:
Тема: Your internet access is going to get suspended
Текст:
Your internet access is going to get suspended
The Internet Service Provider Consorcium was made to protect the rights of software authors, artists.
We conduct regular wiretapping on our networks, to monitor criminal acts.
We are aware of your illegal activities on the internet wich were originating from
You can check the report of your activities in the past 6 month that we have attached. We strongly advise you to stop your activities regarding the illegal downloading of copyrighted material of your internet access will be suspended.
Sincerely
ICS Monitoring Team
источник: PandaSecurity.com
lastmylove
27.09.2008, 18:00
Singu.AM
При запуске создает свою копию в системной директории Windows под именем "INETPUT.EXE". Регистрирует себя как сервис.
ЗАЩИТА
* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Троян с функционалом backdoor для платформы Windows. Устанавливает себя как сервис, открывает в системе "черный ход", позволяет атакующему контролировать сетевой трафик, вести журнал нажатых клавиш, получать доступ к реестру, устанавливать параметры соединения с интернетом.
Визуально не проявляется.
источник: PandaSecurity.com
DjAnubis
06.10.2008, 11:29
Новый троян AutoIt.dt
Описание: (даю свое, т.к. в сети нихрена нет и его ещё никто не лечит, и нет инфы как бороться.)
Bирус я получил с флешки, хотя вроде и отключал авторан в gpedit.msc и открывал и удалял его с тотал командера, он тем не менее запустился.
Cимптомы:
Bо всех расшаренных папках появляются два файла: axvpte.exe размером 453 624 байт и khq размером 0 байт.
Иногда модифицирует название на hdhmqc.exe. В екзешке есть хмл файл с заголовком AutoIt v3.Может без пробела.
Создает в Мой компьютер значок Веб-папки, который запускает csscr.exe.
Чистка:
1. Удаляем все файлы khq, и ехе-шки размером 453 624 байта, если думаете что екзешка "своя", то проверьте в командере через F3 есть ли там строка AutoIt v3. Может без пробела.
2. В папке System32 удаляем скрытый csscr.exe, сняв перед этим его через Диспетчер задач (он идёт от имени пользователя)
или с помощью Unlocker Assistant (http://ccollomb.free.fr/unlocker/unlocker1.8.7.exe). На всякий - проверяем папку dllcache. Documents&Settings/<username>/Local.../Temp - само собой.
3. Чистим реестр (если вы не разбираетесь, обратитесь к другу-программисту) -
HKLM/Software/Microsoft/Windows/CurrentVersion/Run - удаляем подозрительные записи
HKLM/Software/Microsoft/Windows/CurrentVersion/RunOnce - удаляем подозрительные записи
HKCU/Software/Microsoft/Windows/CurrentVersion/Run - удаляем подозрительные записи
HKCU/Software/Microsoft/Windows/CurrentVersion/RunOnce - удаляем подозрительные записи
HKLM/Software/Microsoft/WindowsNT/CurrentVersion/Winlogon параметр Shell должен быть Explorer.exе, если не так - то меняем.
HKLM/Software/Microsoft/Windows/CurrentVersion/policies/explorer/run удаляем запуск csscr.exe
4. Удаляем значок Веб-папки из Моего компьютера:
HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/MyComputer/NameSpace
HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/MyComputer/NameSpace
ищем и удаляем раздел {BDEADF00-C265-11D0-BCED-00A0C90AB50F} или {BDEADF00-C265-11d0-BCED-00A0C90AB50F}. Возможно понадобится перезагрузка.
Вроде всё.
Спасибо за внимание.
vBulletin® v3.8.9, Copyright ©2000-2024, vBulletin Solutions, Inc.