Вредоносное ПО (Обзор)

[lastmylove]

W32.Bancotrep@mm

Признаки

Признаки

При запуске создает в корне системного диска видеофайл (WMV) под именем, аналогичным имени загруженной копии червя. Затем запускает воспроизведение файла.

Тем временем, червь создает в директории Windows (далее %Windir%) следующие файлы:

* GbiehItau.dll
* GbiehCef.dll
* GbiehBank.dll
* Scoop2008.dll
* %Windir%\Scpad.exe
* %Windir%\wiadebug.dat


Во временной директории (далее %Temp%) создается файл .tmp со случайным именем. Файл .tmp со случайным именем также создается в поддиректории Temp директории Windows. В директории для приложений (Program Files) создаются файлы rundll32.exe и wiadebug.txt.

В реестре создаются следующие подключи:

* HKEY_CURRENT_ROOT\TypeLib\{F4C8A477-E4FA-4CF9-BE78-77A4AC92E3B0}
* HKEY_CURRENT_ROOT\TypeLib\{6B884B91-DD57-4523-99BC-5E956AC4A887}
* HKEY_CURRENT_ROOT\TypeLib\{575A5373-B6FF-4BF0-9B03-2FDAAE897172}
* HKEY_CURRENT_ROOT\TypeLib\{46A32661-EC2B-4BE8-B5D4-FC0D5BDFC9DE}
* HKEY_CURRENT_ROOT\Interface\{F6EF044F-7174-4A75-BC4D-30A78A0D1C26}
* HKEY_CURRENT_ROOT\Interface\{EA1062D7-A264-4DCD-83E5-DC91CEF7E9F1}
* HKEY_CURRENT_ROOT\Interface\{82822504-7751-4A47-A252-4BDEC92E0C7F}
* HKEY_CURRENT_ROOT\Interface\{5A9CC74A-5093-4F8D-8157-348669C34C59}
* HKEY_CURRENT_ROOT\GbiehItau.GBIEHObj
* HKEY_CURRENT_ROOT\GbiehCef.GBIEHObj
* HKEY_CURRENT_ROOT\GbiehBank.GBIEHObj
* HKEY_CURRENT_ROOT\Scoop2008.GBIEHObj
* HKEY_CURRENT_ROOT\CLSID\{EDD47EE4-7E9C-45C0-9479-47F3CCED434A}
* HKEY_CURRENT_ROOT\CLSID\{BEEB2618-69CF-4CD9-9DD0-76886A003022}
* HKEY_CURRENT_ROOT\CLSID\{A3EB9BE6-2D35-49D4-B7A1-D36102642CFC}
* HKEY_CURRENT_ROOT\CLSID\{70C64D27-921E-455F-A25B-FC56E8DDDFE4}


Информирует атакующего о захвате компьютера, подключаясь к серверу smtps.uol.com.br.

Пытается похитить информацию об учетных записях ряда крупнейших бразильских онлайн-банков. Данные отправляются по адресу [email protected].

Пытается загрузить свои копии с URL [http://]www.geocities.com/superdown2008/campeonatomundi[???]

Рассылает себя по адресам, найденным в Windows Live Contacts List.

Письмо содержит случайный адрес отправителя, тему "Fwd: Campeonato mundial de trepada!!!!", поле BCC: [email protected], Reply-to: [email protected], вложение campeonatomundialdetrepada.zip.

Тело сообщения:

Veja mapas e encontre as melhores rotas para fugir do transito com o Live Search Maps! Experimente ja! [http://]www.livemaps.com.br/index[???]
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется посредством массовой рассылки себя по электронной почте по адресам, взятым из списка контактов Windows Live Contacts List.

Крадет конфиденциальные данные из захваченной системы.

источник: Symantec.com

[lastmylove]

Trojan.Drondog

Признаки

Признаки

При запуске копирует себя под случайным именем (с расширением exe) в директорию временных файлов текущего пользователя (%UserProfile%Local Settings\Temporary Internet Files\).

Записывает драйвер usbhdd.sys в директории drivers системной директории Windows. Регистрирует драйвер как сервис. Данный сервис отключает ряд приложений, отслеживающий несанкционированные изменения на жестком диске. Затем троян заменяет файл userinit.exe в системной директории Windows на вредоносный код, загруженный с URL [http://]1.0803071030.net/[???]. После этого сервис останавливается, его файл удаляется, как и сам троян, скопированный во временную директорию.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Загружает на компьютер дополнительный вредоносный код. Модифицирует файл userinint.exe в системной директории Windows. Отключает приложения, отслеживающие изменения системных файлов.

источник: Symantec.com

[lastmylove]

Trojan.Emifie

Признаки

Признаки

Троян-эксплоит, размещается на вредоносных сайтах; при открытии сайта пытается эксплуатировать уязвимость и загрузить вредоносные файлы со следующих URL:
[http://]igloofamily.com/word[???]
[http://]igloofamily.com/word[???]
[http://]amrc.com.tw/css/sbc/sbc[???]

Загруженный файл - копию трояна типа Downloader - сохраняет в системной директории Windows под именем a.exe.

Псевдоним: EXPL_NEVAR.B (Trend Micro).
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур

Действие

Троян для платформы Windows. Представляет собой эксплоит, размещаемый на вредоносных сайтах. При открытии страницы пытается эксплуатировать уязвимость в Microsoft Windows GDI к выполнению кода при открытии файлов EMF и WMF.

источник: Symantec.com

[lastmylove]

Trojan.Busdest

Признаки

Признаки

При запуске создает в корне дисков C, D, E, F, G, O, K, J (если они присутствуют в системе) файлы с именем "a_a_a".

На каждом диске ищет файлы и перезаписывает их начало 1110 байтами определенных данных. Испорченность файлов может вызвать нестабильность работы системы.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур

Действие

Троян для платформы Windows. Перезаписывает файлы, что может вызвать нестабильность работы системы.

источник: Symantec.com

[lastmylove]

Trojan.Erotpics

Признаки

Признаки

При запуске создает файл %System%\CbEvtSvc.exe.

(Примечание: %System% - системная директория Windows, обычно c:\Windows\System32\)

Создает сервис с названием и отображаемым именем CbEvtSvc, автоматическим типом запуска, и строкой запуска "%System%\CbEvtSvc.exe -k netsvcs".

Для создания сервиса в реестре создаются следующие подключи:

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_CBEVTSVC
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\C bEvtSvc
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_CBEVTSVC
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\CbEvtSvc


Отправляет информацию о факте установки и о захваченной системе на сервер 207.10.234.217, после чего пытается загрузить оттуда дополнительные исполняемые файлы.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Предназначен для загрузки и запуска дополнительного вредоносного кода из интернета. Распространяется в спаме под видом архива эротических фото и видео различных знаменитостей.

источник: Symantec.com

[lastmylove]

Trojan.Fribet

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\ipsec.exe
* %System%\ipsec.dll


(Примечание: %System% - системная директория Windows, в NT/Vista это, обычно, C:\Windows\System32)

Обеспечивает себе автозагрузку при старте Windows. Для этого создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"DllName" = "C:\WINDOWS\system32\ipsec.dll"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Startup" = "FkStartup"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Shutdown" = "FkShutdown"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Asynchron ous" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Impersona te" = "0"


Также создает в реестре подключ HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing и записи в нем:

* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing\"classid " = "8947030077013410120C0BD707"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing\"memo" = "free tibet"


После вышеуказанных действий пытается загрузить файлы с сайта [http://]www.freetibet.lamalife.com.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Предназначен для загрузки дополнительного вредоносного кода из интернета. Распространяется через зараженные эксплоитами сайты, выступающие в поддержку автономии Тибета от Китая.

источник: Symantec.com

[lastmylove]

GoRecord

Признаки

Признаки

Приложение не устанавливается самостоятельно.

При запуске создает директорию %UserProfile%\.gstreamer-0.10 (%UserProfile% - директория текущего пользователя).

Создает следующие файлы:

* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].dat
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ]_nav.dat
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ]_navps.dat
* %UserProfile%\Local Settings\Temp\[СЛУЧАЙНЫЕ_СИМВОЛЫ].tmp
* C:\Documents and Settings\All Users\Desktop\GoRecord 2.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\GoRecord 2.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Privacy Policy.url
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Terms and Conditions.url
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Uninstall.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Website.url
* %ProgramFiles%\GoRecord2\Gfx.bin
* %ProgramFiles%\GoRecord2\GoRecord.exe
* %ProgramFiles%\GoRecord2\iconv.dll
* %ProgramFiles%\GoRecord2\intl.dll
* %ProgramFiles%\GoRecord2\libglib-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgmodule-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgobject-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgstaudio-0.10.dll
* %ProgramFiles%\GoRecord2\libgstaudioconvert.dll
* %ProgramFiles%\GoRecord2\libgstbase-0.10.dll
* %ProgramFiles%\GoRecord2\libgstcontroller-0.10.dll
* %ProgramFiles%\GoRecord2\libgstcoreelements.dll
* %ProgramFiles%\GoRecord2\libgstdecodebin.dll
* %ProgramFiles%\GoRecord2\libgstdirectsound.dll
* %ProgramFiles%\GoRecord2\libgstflump3dec.dll
* %ProgramFiles%\GoRecord2\libgsticydemux.dll
* %ProgramFiles%\GoRecord2\libgstid3demux.dll
* %ProgramFiles%\GoRecord2\libgstinterfaces-0.10.dll
* %ProgramFiles%\GoRecord2\libgstlevel.dll
* %ProgramFiles%\GoRecord2\libgstneon.dll
* %ProgramFiles%\GoRecord2\libgstogg.dll
* %ProgramFiles%\GoRecord2\libgstreamer-0.10.dll
* %ProgramFiles%\GoRecord2\libgstriff-0.10.dll
* %ProgramFiles%\GoRecord2\libgsttag-0.10.dll
* %ProgramFiles%\GoRecord2\libgsttypefindfunctions.d ll
* %ProgramFiles%\GoRecord2\libgstvolume.dll
* %ProgramFiles%\GoRecord2\libgstvorbis.dll
* %ProgramFiles%\GoRecord2\libgstwavparse.dll
* %ProgramFiles%\GoRecord2\libgthread-2.0-0.dll
* %ProgramFiles%\GoRecord2\libxml2.dll
* %ProgramFiles%\GoRecord2\ogg.dll
* %ProgramFiles%\GoRecord2\resources\config.bin
* %ProgramFiles%\GoRecord2\resources\musics.s3db
* %ProgramFiles%\GoRecord2\resources\radios.s3db
* %ProgramFiles%\GoRecord2\sqlite3.dll
* %ProgramFiles%\GoRecord2\uninst.exe
* %ProgramFiles%\GoRecord2\vorbis.dll
* %ProgramFiles%\GoRecord2\zlib1.dll
* %System%\nvs2.inf
* %Windir%\Temp\msksetup.log


В реестре создает следующие подключи:

* HKEY_CURRENT_USER\Software\GoRecord
* HKEY_CURRENT_USER\Software\LanConfig
* HKEY_LOCAL_MACHINE\SOFTWARE\GoRecord
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\GoRecord
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\[СЛУЧАЙНЫЕ_СИМВОЛЫ]


Обеспечивает себе автозагрузку вместе с Windows. Для этого создает в реестре следующую запись:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"[СЛУЧАЙНЫЕ_СИМВОЛЫ]" = "C:\Documents and Settings\administrator\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe [СЛУЧАЙНЫЕ_СИМВОЛЫ]"


Может записать в систему копию трояна Trojan.Skintrim.

Пытается подключиться к сайту gorecord.com.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Приложение для платформы Windows (GoRecord, v2.0.0.7, назначение: музыкальный каталог). Содержит в себе Trojan.Skintrim, который записывается в систему при старте приложения).

источник: Symantec.com

[lastmylove]

WinXProtector

Признаки

Признаки

Приложение не инсталлируется самостоятельно.

При установке программа создает следующие файлы:

* %UserProfile%\Application Data\WinXProtector\base.dat
* %UserProfile%\Application Data\WinXProtector\base2.dat
* %UserProfile%\Application Data\WinXProtector\Desc.dat
* %UserProfile%\Application Data\WinXProtector\spline.dat
* %UserProfile%\Application Data\WinXProtector\WinXProtector.ini
* %UserProfile%\Application Data\WinXProtector\log.dat
* %UserProfile%\Start Menu\Programs\WinXProtector\Purchase License.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\Support Page.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\WinXProtector Uninstall.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\WinXProtector.lnk
* %ProgramFiles%\WinXProtector\Buy.url
* %ProgramFiles%\WinXProtector\Help.url
* %ProgramFiles%\WinXProtector\Uninstall.exe
* %ProgramFiles%\WinXProtector\WinXProtector.exe


Обеспечивает себе автозагрузку при каждом старте системы, делая запись в реестре:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"WinXProtector" = "C:\Program Files\WinXProtector\WinXProtector.exe"


Также создает в реестре следующие записи:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Uninstall\WinXProtector\"DisplayName" = "WinXProtector 2.1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Uninstall\WinXProtector\"UninstallString " = "C:\Program Files\WinXProtector\Uninstall.exe"
* HKEY_CURRENT_USER\Software\WinXProtector\"ID" = "3966"


ЗАЩИТА

Для удаления приложения используйте антивирусную программу, содержащую определение WinXProtector в базе.
Действие

Потенциально нежелательное приложение для платформы Windows. Представляет собой фальшивый антивирус; после сканирования отображает данные о несуществующих вредоносных программах, предлагает заплатить за версию, которая сможет устранить угрозы.

Распространитель приложения: WinXProtector.com.

источник: Symantec.com

[lastmylove]

AntiSpywareExpert

Признаки

Признаки

Приложение не устанавливается автоматически; это должен сделать пользователь.

При установке создает следующие файлы:

* %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\AntiSpywareExpert.lnk
* %UserProfile%\Desktop\AntiSpywareExpert.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\AntiSpywareExpert\AntiSpywareExpert. lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\AntiSpywareExpert\Uninstall AntiSpywareExpert.lnk
* %ProgramFiles%\AntiSpywareExpert\ase.exe

В реестре создает запись, обеспечивающую автозагрузку при каждом запуске системы:
HKEY_CURRENT_USER\Software\AntiSpywareExpert\"Anti SpywareExpert" = "C:\Program Files\AntiSpywareExpert\ase.exe"

Также создает в реестре подключ HKEY_CURRENT_USER\Software\AntiSpywareExpert
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Нежелательное приложение для платформы Windows. Отображает сообщение о несуществующих угрозах, якобы найденных в системе, и предлагает устранить их после платной регистрации продукта.

Разработчик: AntiSpywareExpert Inc., версия 1.0.7.1.

источник: Symantec.com

[lastmylove]

Trojan.Qipian

Признаки

При запуске создает в системной директории Windows (%System%) файлы, чье имя совпадает с именем запущенного файла-носителя, и расширениями .exe, .asf, .dfg и .wmv, а также файл с именем из случайных цифр и расширением .dat.

Создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\Control\"NewlyCreated" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\Control\"ActiveService" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Service" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"DeviceDesc" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"0" = "Root\LEGACY_MESSENGER\0000"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"Count" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\Control\"NewlyCreated" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\Control\"ActiveService" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Service" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"ConfigFlags"= "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"DeviceDesc" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"0" = "Root\LEGACY_MESSENGER\0000"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"Count" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"NextInstance" = "1"


Также модифицирует следующие записи реестра (создает их, если они не существуют):

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"Type" = "110"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"Start" = "2"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"ImagePath" = "C:\WINDOWS\system32\[ORIGINALLY EXECUTED FILE NAME].exe -k netsvcs"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"Type" = "110"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"Start" = "2"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"ImagePath" = "C:\WINDOWS\system32\[ORIGINALLY EXECUTED FILE NAME].exe -k netsvcs"


Журнал нажатых клавиш сохраняется в файле .hke с именем, совпадающим с именем первоначально запущенного носителя, в системной директории Windows.

Периодически отсылает данные и обновляет себя через URL [http://]packer.8800.org:53/3008[???] и [http://]nodns2.qipian.org/ccs[???].
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows с клавиатурным шпионом. Периодически отправляет данные - журнал нажатых клавиш - на сайт атакующего.

источник: Symantec.com

[lastmylove]

Trojan.Garntet

Признаки

Признаки

При запуске создает драйвер %System%\drivers\[случайное_имя].sys.

Создает в реестре следующие ключи:

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[случайное_имя]


[случайное_имя] - то же, что и у .sys.

Затем загружает файл настроек с URL [http://]www.in-t-e-r-n-e-t.com/bootup.[???]

В зависимости от настроек, загружает дополнительный код со следующих URL:

* [http://]www.in-t-e-r-n-e-t.com/manifests/Notifi[???]
* [http://]www.in-t-e-r-n-e-t.com/manifests/UrlMoni[???]
* [http://]www.in-t-e-r-n-e-t.com/manifests/AppMana[???]
* [http://]www.in-t-e-r-n-e-t.com/core.10[???]
* [http://]www.in-t-e-r-n-e-t.com/UrlMonitor[???]
* [http://]www.in-t-e-r-n-e-t.com/AppManager[???]
* [http://]www.in-t-e-r-n-e-t.com/Notifier.[???]


Создает из загруженных компонентов файл %System%\drivers\core.cache.dsk.

Собирает о компьютере следующие данные:

* IP
* Версия ОС
* ID продукта ОС
* Название используемого браузера
* Версия браузера
* Данные о User Agent


Данные отправляются по URL [http://]www.i-nt-e-r-n-e-t.com/c[???]

Троян скрывает себя с использованием руткита.

Открывает "черный ход" на захваченном компьютере. Список функций:

* Загрузка файлов удаленно
* Выполнение файлов
* Модификации в реестре
* Отслеживает сетевую активность


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Открывает на захваченном компьютере "черный ход" и загружает из интернета дополнительный вредоносный код.

источник: Symantec.com

[lastmylove]

Trojan.Virantix.C

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\dllcache\figaro.sys
* %System%\braviax.exe


#R%system

Перезаписывает следующие файлы файлом figaro.sys:

* %Windir%\drivers\beep.sys
* %System%\dllcache\beep.sys
* %System%\drivers\beep.sys


(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Для активации файлов figaro.sys и braviax.exe перезагружает компьютер.

После перезагрузки троян отображает сообщение от имени Windows о зараженности системы:

Your computer is infected!

Windows has detected spyware infection!

It is recomended to use special antispyware tools to prevent data loss. Windows will now download and install the most up-to-date antispyware for you.

Click here to protect your computer from spyware!

Затем создает следующие файлы:

* %текущая_директория%\delself.bat
* %System%\univrs32.dat


Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"braviax" = "%System%\braviax.exe"


Модифицирует в реестре записи, ослабляющие защиту системы:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"AntiVirusDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"FirewallDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"UpdatesDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"AntiVirusDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"FirewallDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"UpdatesDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\EnableFirewall" = "00000000"


Модифицирует в реестре настройки защиты доступа в интернет через Internet Explorer:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"2500" = "03000000"


Также модифицирует следующие настройки реестра:

* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"EnableBrowserExtensions" = "yes"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"SearchBar" = "http://www.google.com/ie"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"SearchPage" = "http://www.google.com"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"StartPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"Default_Search_URL" = "http://www.google.com/ie"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"SearchPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"StartPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Search\"SearchAssistant" = "http://www.google.com"


Пытается загрузить нежелательное приложение с URL [http://]www.softcashier.com/members/link[удалено]

На момент написания заметки это было приложение WinReanimator.

Затем может завершить следующие процессы:

* aluschedulersvc.exe
* appsvc32.exe
* apvxdwin.exe
* ashmaisv.exe
* ashserv.exe
* ashwebsv.exe
* autoruns.exe
* avciman.exe
* avengine.exe
* avgagent.exe
* avgamsvr.exe
* avgas.exe
* avgas.exe
* avgcc.exe
* avgemc.exe
* avgemc.exe
* avgupsvc.exe
* avgupsvc.exe
* avgw.exe
* avgw.exe
* avp.exe
* avpcc.exe
* avpm.exe
* avsched32.exe
* avz.exe
* bdmcon.exe
* bdss.exe
* bolenja.exe
* bolenjx.exe
* cavrid.exe
* cavtray.exe
* ccapp.exe
* ccevtmgr.exe
* ccevtmgr.exe
* ccimscan.exe
* ccproxy.exe
* ccpwdsvc.exe
* ccpwdsvc.exe
* ccpxysvc.exe
* ccsetmgr.exe
* ccsetmgr.exe
* ccsvchst.exe
* combo.exe
* combofix
* comboxfix.exe
* cpd.exe
* cpf.exe
* crypserv.exe
* cureit.exe
* defwatch.exe
* dsentry.exe
* dss.exe
* eyetidecontroller.exe
* farsighter.exe
* fatbuster.exe
* fsav32.exe
* fsbl.exe
* f-sched.exe
* fsm32.exe
* f-stopw.exe
* fwservice.exe
* gcasdtserv.exe
* gcasserv.exe
* globkill.exe
* gmer.exe
* hackmon.exe
* hbtoeaddon.exe
* hijackthis
* hitvirus.exe
* hwpe2.exe
* iao.exe
* icmon.exe
* inetupd.exe
* ismini.exe
* isnotify.exe
* issvc.exe
* issvc.exe
* kav.exe
* kavss.exe
* kavsvc.exe
* killbox.exe
* klpf.exe
* klswd.exe
* kmd.exe
* kpf4ss.exe
* little_helper2.exe
* livesrv.exe
* lsasrv.exe
* lsass32.exe
* lsetup.exe
* lucoms~1.exe
* magiclink.exe
* malscr.exe
* malswep.exe
* mcshield.exe
* msmpeng.exe
* msssrv.exe
* mwsoemon.exe
* myvideodaily2.exe
* navapp.exe
* navapsvc.exe
* navapsvc.exe
* navapsvc.exe
* navilog
* navstub.exe
* navw32.exe
* nisum.exe
* njexplor.exe
* nlsupervisorpro.exe
* no32mon.exe
* nod32krn.exe
* nod32ra.exe
* nortonupdate.exe
* nsmdtr.exe
* nvctrl.exe
* ofcdog.exe
* op_mon.exe
* outpost.exe
* overseer.exe
* overspy.exe
* pavfnsvr.exe
* pavfnsvr.exe
* pavprsrv.exe
* pavsrv51.exe
* pbcpl.exe
* pboptions.exe
* pifsvc.exe
* prevxcsi.exe
* prevxcsi.exe
* printer.exe
* procmast.exe
* psctrls.exe
* pshost.exe
* psimsvc.exe
* pskmssvc.exe
* rootkit_detektive.exe
* rtvscan.exe
* sandboxieserver.exe
* savscan.exe
* savscan.exe
* sbserv.exe
* sdfix.exe
* sdtrayapp.exe
* sndmon.exe
* sndsrvc.exe
* spbbcsvc.exe
* spyblock.dll
* spybot.exe
* spybotsd.exe
* spywaredetector.exe
* superantispyware.exe
* svcntaux.exe
* svcntaux.exe
* swdsvc.exe
* swdsvc.exe
* symlcsvc.exe
* symlcsvc.exe
* symwsc.exe
* thguard.exe
* tpsrv.exe
* trjscan.exe
* vundofix.exe
* winavxx.exe
* zclient.exe
* zcodec.exe
* zcomservice.exe


Пытается предотвратить загрузку следующих драйверов:

* bc_hassh_f.sys
* bcfilter.sys
* bcftdi.sys
* vsdatant.sys
* watchdog.sys


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Отображает сообщение о зараженности системы от имени Windows, пытается загрузить из интернета нежелательные приложения, завершает антивирусные приложения.

источник: Symantec.com

[lastmylove]

Infostealer.Fertippy

Признаки

Признаки

При запуске проверяет/создает мутекс "i_iut7gtjuhj221v2", обеспечивающий однократное присутствие копии трояна в памяти.

Создает в реестре следующие записи:

* HKEY_USERS\S-1-5-21-2022063256-1342405650-1969242035-500\Software\ Microsoft\Windows\CurrentVersion\Internet Settings\"GlobalUserOffline" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplicati ons\List\"[путь к трояну]" = "[путь к трояну]:*:Enabled:ipsec"


Собирает реквизиты доступа к FTP из приложений "Total Commander", "FAR Manager" и "CuteFTP".

В случае обнаружения реквизитов, подключается к серверам и внедряет iframe в следующие файлы, если они найдены:

* index.htm
* main.htm
* default.htm
* index.php
* main.php
* default.php


Iframe (плавающая рамка) указывает на сайт [http://]money2008.org.

Данные об учетных записях отправляются по URL [http://]89.149.227.194.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Ищет в системе реквизиты доступа к FTP, подключается к серверам и внедряет код загрузки других сайтов в определенные HTML-файлы. Данные о реквизитах отправляются атакующему на веб-сервер.

источник: Symantec.com

[lastmylove]

Adware.Okcashbackmall
Признаки

Признаки

При запуске создает следующие файлы:

* %ТекущаяДиректория%\tmp_1023921881.exe
* %ТекущаяДиректория%\DelZip179.dll
* %ДиректорияПрофиляПользователя%\Desktop\[Корейские_Символы].lnk
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ProgramFiles%\cashbackkorea\auction.ico
* %ProgramFiles%\cashbackkorea\cashbackkorea.dll
* %ProgramFiles%\cashbackkorea\cashbackkoreabar.dll
* %ProgramFiles%\cashbackkorea\shoppingmall.zip
* %ProgramFiles%\cashbackkorea\uninstall.exe
* %ProgramFiles%\cashbacksys\auction.ico
* %ProgramFiles%\cashbacksys\cashbacksys.dll
* %ProgramFiles%\cashbacksys\cashbacksysbar.dll
* %ProgramFiles%\cashbacksys\shoppingmall.zip
* %ProgramFiles%\cashbacksys\uninstall.exe
* %ProgramFiles%\mizane\auction.ico
* %ProgramFiles%\mizane\mizane.dll
* %ProgramFiles%\mizane\mizanebar.dll
* %ProgramFiles%\mizane\shoppingmall.zip
* %ProgramFiles%\okcashbackmall\uninstall.exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\icons.dll
* %System%\img1.flv
* %System%\img2.flv
* %System%\tempfiles_[RANDOM NUMBERS].exe
* %System%\zadwqblw[Случайные_символы].exe
* %System%\zadwqblw[Случайные_символы].exe


Обеспечивает себе автозагрузку при каждом запуске системы. Для этого создает в реестре следующие записи:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwppx.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwpvl.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwrsq.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"


Также создает в реестре следующие подключи:

* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{1DE525ED-EF71-4119-8C3C-1CE5315ADA74}
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{D04358AE-CE03-4A26-9F02-69C4D3A5267F}
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\User Agent
* HKEY_CLASSES_ROOT\CLSID\{1DDE8A86-89D8-4B55-A936-65C40B6A8DD0}
* HKEY_CLASSES_ROOT\CLSID\{1DE525ED-EF71-4119-8C3C-1CE5315ADA74}
* HKEY_CLASSES_ROOT\CLSID\{4D2D9681-C234-47A3-B499-9CEE26FF54C2}
* HKEY_CLASSES_ROOT\CLSID\{7AC1D6D1-B83B-4D77-A916-839F90216BC7}
* HKEY_CLASSES_ROOT\CLSID\{D04358AE-CE03-4A26-9F02-69C4D3A5267F}
* HKEY_CLASSES_ROOT\cashbackkorea.cashbackkorea.com
* HKEY_CLASSES_ROOT\cashbackkoreabar.cashbackkorea
* HKEY_CLASSES_ROOT\cashbacksys.cashbacksys.com
* HKEY_CLASSES_ROOT\cashbacksysbar.cashbacksys.com
* HKEY_CLASSES_ROOT\mizane.mizane.com
* HKEY_CLASSES_ROOT\mizanebar.mizane.com
* HKEY_CLASSES_ROOT\okcashbackmall.okcashbackmall.co m
* HKEY_CLASSES_ROOT\okcashbackmallbar.okcashbackmall .com.Bar
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{1DDE8A86-89D8-4B55-A936-65C40B6A8DD0}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{4D2D9681-C234-47A3-B499-9CEE26FF54C2}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{7AC1D6D1-B83B-4D77-A916-839F90216BC7}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows cashbackkorea Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows cashbacksys Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows mizane Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\okcashbackmall Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\cashbackkorea


Затем подключается к URL [http://]okcashbackmall.com/down/ho[???] и загружает оттуда файлы. Файлы сохраняются как:

* %ProgramFiles%\mizane\uninstall.exe
* %ProgramFiles%\okcashbackmall\okcashbackmall.dll
* %ProgramFiles%\okcashbackmall\okcashbackmallbar.dl l


Файл okcashbackmall.dll регистрируется как вспомогательный объект браузера (BHO) 1DDE8A86-89D8-4B55-A936-65C40B6A8DD0, использующийся для отслеживания работы браузера и периодического перенаправления.
ЗАЩИТА

Для удаления приложения используйте антивирусную программу, содержащую ее определение в своих базах. Затем удалите созданные приложением элементы реестра при помощи "Редактора реестра" (regedit.exe).
Действие

Adware для платформы Windows. Может перенаправлять браузер на другие веб-страницы без ведома пользователя.

Имя приложения: okcashbackmall install, версия 1.0.0.0.

источник: Symantec.com

[lastmylove]

W32.Madag.A

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\export\services.exe
* %System%\normal.dot
* c:\Windows\winsyst.exe
* c:\WINDOWS\winnt.exe


Примечание: %System% - системная директория Windows (для NT..Vista, обычно, C:\Windows\System32)

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующие записи:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"this free" = "c:\Windows\winsyst.exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"vbwq cute" = "c:\WINDOWS\winnt.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogin\"Shell" = "Explorer.exe c:\WINDOWS\winnt.exe"


Также модифицирует в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\CurrentControlSet\Cont rol\SafeBoot\"AlternateShell" = "c:\WINDOWS\winsyst.exe"
* HKEY_CLASSES_ROOT\.inf\"Default" = "txtfile"
* HKEY_CLASSES_ROOT\.reg\"Default" = "txtfile"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "2"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"SuperHidden" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Folder\SuperHidden\"Ch eckedValue" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Folder\SuperHidden\"De faultValue" = "0"


Распространяется копированием себя в корень съемных дисков под именем Thoojloi.exe. Там же создает файл автозапуска autorun.inf, обеспечивающий автозагрузку вышеуказанного .exe при подключении диска к системе. Autorun.inf имеет атрибуты "системный" и "скрытый".

"Заражает" файлы Microsoft Word (.doc): записывает себя в начало, перемещая оригинальное содержимое в конец файла, и переименовывает расширение документа в .exe. При запуске такого файла открывает работоспособный документ.

Может завершать приложения, в заголовках окон которых содержатся следующие строки:

* .task
* anti
* application data
* command prompt
* compact
* compiler
* delphi
* detect
* hacker
* hijack
* killbox
* movzx
* process
* registry
* security
* superdat
* system32
* vbde
* virus
* visual


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием на съемные носители и "заражает" документы Word (.doc), переименовывая их в .exe с сохранением содержимого.

источник: Symantec.com