Вредоносное ПО (Обзор)

[lastmylove]

Trojan.Fribet

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\ipsec.exe
* %System%\ipsec.dll


(Примечание: %System% - системная директория Windows, в NT/Vista это, обычно, C:\Windows\System32)

Обеспечивает себе автозагрузку при старте Windows. Для этого создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"DllName" = "C:\WINDOWS\system32\ipsec.dll"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Startup" = "FkStartup"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Shutdown" = "FkShutdown"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Asynchron ous" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ipsec\"Impersona te" = "0"


Также создает в реестре подключ HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing и записи в нем:

* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing\"classid " = "8947030077013410120C0BD707"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FKing\"memo" = "free tibet"


После вышеуказанных действий пытается загрузить файлы с сайта [http://]www.freetibet.lamalife.com.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Предназначен для загрузки дополнительного вредоносного кода из интернета. Распространяется через зараженные эксплоитами сайты, выступающие в поддержку автономии Тибета от Китая.

источник: Symantec.com

[lastmylove]

GoRecord

Признаки

Признаки

Приложение не устанавливается самостоятельно.

При запуске создает директорию %UserProfile%\.gstreamer-0.10 (%UserProfile% - директория текущего пользователя).

Создает следующие файлы:

* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].dat
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ]_nav.dat
* %UserProfile%\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ]_navps.dat
* %UserProfile%\Local Settings\Temp\[СЛУЧАЙНЫЕ_СИМВОЛЫ].tmp
* C:\Documents and Settings\All Users\Desktop\GoRecord 2.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\GoRecord 2.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Privacy Policy.url
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Terms and Conditions.url
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Uninstall.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\GoRecord 2\Website.url
* %ProgramFiles%\GoRecord2\Gfx.bin
* %ProgramFiles%\GoRecord2\GoRecord.exe
* %ProgramFiles%\GoRecord2\iconv.dll
* %ProgramFiles%\GoRecord2\intl.dll
* %ProgramFiles%\GoRecord2\libglib-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgmodule-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgobject-2.0-0.dll
* %ProgramFiles%\GoRecord2\libgstaudio-0.10.dll
* %ProgramFiles%\GoRecord2\libgstaudioconvert.dll
* %ProgramFiles%\GoRecord2\libgstbase-0.10.dll
* %ProgramFiles%\GoRecord2\libgstcontroller-0.10.dll
* %ProgramFiles%\GoRecord2\libgstcoreelements.dll
* %ProgramFiles%\GoRecord2\libgstdecodebin.dll
* %ProgramFiles%\GoRecord2\libgstdirectsound.dll
* %ProgramFiles%\GoRecord2\libgstflump3dec.dll
* %ProgramFiles%\GoRecord2\libgsticydemux.dll
* %ProgramFiles%\GoRecord2\libgstid3demux.dll
* %ProgramFiles%\GoRecord2\libgstinterfaces-0.10.dll
* %ProgramFiles%\GoRecord2\libgstlevel.dll
* %ProgramFiles%\GoRecord2\libgstneon.dll
* %ProgramFiles%\GoRecord2\libgstogg.dll
* %ProgramFiles%\GoRecord2\libgstreamer-0.10.dll
* %ProgramFiles%\GoRecord2\libgstriff-0.10.dll
* %ProgramFiles%\GoRecord2\libgsttag-0.10.dll
* %ProgramFiles%\GoRecord2\libgsttypefindfunctions.d ll
* %ProgramFiles%\GoRecord2\libgstvolume.dll
* %ProgramFiles%\GoRecord2\libgstvorbis.dll
* %ProgramFiles%\GoRecord2\libgstwavparse.dll
* %ProgramFiles%\GoRecord2\libgthread-2.0-0.dll
* %ProgramFiles%\GoRecord2\libxml2.dll
* %ProgramFiles%\GoRecord2\ogg.dll
* %ProgramFiles%\GoRecord2\resources\config.bin
* %ProgramFiles%\GoRecord2\resources\musics.s3db
* %ProgramFiles%\GoRecord2\resources\radios.s3db
* %ProgramFiles%\GoRecord2\sqlite3.dll
* %ProgramFiles%\GoRecord2\uninst.exe
* %ProgramFiles%\GoRecord2\vorbis.dll
* %ProgramFiles%\GoRecord2\zlib1.dll
* %System%\nvs2.inf
* %Windir%\Temp\msksetup.log


В реестре создает следующие подключи:

* HKEY_CURRENT_USER\Software\GoRecord
* HKEY_CURRENT_USER\Software\LanConfig
* HKEY_LOCAL_MACHINE\SOFTWARE\GoRecord
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\GoRecord
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\[СЛУЧАЙНЫЕ_СИМВОЛЫ]


Обеспечивает себе автозагрузку вместе с Windows. Для этого создает в реестре следующую запись:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"[СЛУЧАЙНЫЕ_СИМВОЛЫ]" = "C:\Documents and Settings\administrator\Local Settings\Application Data\[СЛУЧАЙНЫЕ_СИМВОЛЫ].exe [СЛУЧАЙНЫЕ_СИМВОЛЫ]"


Может записать в систему копию трояна Trojan.Skintrim.

Пытается подключиться к сайту gorecord.com.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Приложение для платформы Windows (GoRecord, v2.0.0.7, назначение: музыкальный каталог). Содержит в себе Trojan.Skintrim, который записывается в систему при старте приложения).

источник: Symantec.com

[lastmylove]

WinXProtector

Признаки

Признаки

Приложение не инсталлируется самостоятельно.

При установке программа создает следующие файлы:

* %UserProfile%\Application Data\WinXProtector\base.dat
* %UserProfile%\Application Data\WinXProtector\base2.dat
* %UserProfile%\Application Data\WinXProtector\Desc.dat
* %UserProfile%\Application Data\WinXProtector\spline.dat
* %UserProfile%\Application Data\WinXProtector\WinXProtector.ini
* %UserProfile%\Application Data\WinXProtector\log.dat
* %UserProfile%\Start Menu\Programs\WinXProtector\Purchase License.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\Support Page.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\WinXProtector Uninstall.lnk
* %UserProfile%\Start Menu\Programs\WinXProtector\WinXProtector.lnk
* %ProgramFiles%\WinXProtector\Buy.url
* %ProgramFiles%\WinXProtector\Help.url
* %ProgramFiles%\WinXProtector\Uninstall.exe
* %ProgramFiles%\WinXProtector\WinXProtector.exe


Обеспечивает себе автозагрузку при каждом старте системы, делая запись в реестре:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"WinXProtector" = "C:\Program Files\WinXProtector\WinXProtector.exe"


Также создает в реестре следующие записи:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Uninstall\WinXProtector\"DisplayName" = "WinXProtector 2.1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Uninstall\WinXProtector\"UninstallString " = "C:\Program Files\WinXProtector\Uninstall.exe"
* HKEY_CURRENT_USER\Software\WinXProtector\"ID" = "3966"


ЗАЩИТА

Для удаления приложения используйте антивирусную программу, содержащую определение WinXProtector в базе.
Действие

Потенциально нежелательное приложение для платформы Windows. Представляет собой фальшивый антивирус; после сканирования отображает данные о несуществующих вредоносных программах, предлагает заплатить за версию, которая сможет устранить угрозы.

Распространитель приложения: WinXProtector.com.

источник: Symantec.com

[lastmylove]

AntiSpywareExpert

Признаки

Признаки

Приложение не устанавливается автоматически; это должен сделать пользователь.

При установке создает следующие файлы:

* %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\AntiSpywareExpert.lnk
* %UserProfile%\Desktop\AntiSpywareExpert.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\AntiSpywareExpert\AntiSpywareExpert. lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\AntiSpywareExpert\Uninstall AntiSpywareExpert.lnk
* %ProgramFiles%\AntiSpywareExpert\ase.exe

В реестре создает запись, обеспечивающую автозагрузку при каждом запуске системы:
HKEY_CURRENT_USER\Software\AntiSpywareExpert\"Anti SpywareExpert" = "C:\Program Files\AntiSpywareExpert\ase.exe"

Также создает в реестре подключ HKEY_CURRENT_USER\Software\AntiSpywareExpert
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Нежелательное приложение для платформы Windows. Отображает сообщение о несуществующих угрозах, якобы найденных в системе, и предлагает устранить их после платной регистрации продукта.

Разработчик: AntiSpywareExpert Inc., версия 1.0.7.1.

источник: Symantec.com

[lastmylove]

Trojan.Qipian

Признаки

При запуске создает в системной директории Windows (%System%) файлы, чье имя совпадает с именем запущенного файла-носителя, и расширениями .exe, .asf, .dfg и .wmv, а также файл с именем из случайных цифр и расширением .dat.

Создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\Control\"NewlyCreated" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\Control\"ActiveService" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Service" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\0000\"DeviceDesc" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MESSENGER\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"0" = "Root\LEGACY_MESSENGER\0000"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"Count" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\Enum\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\Control\"NewlyCreated" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\Control\"ActiveService" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Service" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"ConfigFlags"= "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\0000\"DeviceDesc" = "Messenger"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_MESSENGER\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"0" = "Root\LEGACY_MESSENGER\0000"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"Count" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\Enum\"NextInstance" = "1"


Также модифицирует следующие записи реестра (создает их, если они не существуют):

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"Type" = "110"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"Start" = "2"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\M essenger\"ImagePath" = "C:\WINDOWS\system32\[ORIGINALLY EXECUTED FILE NAME].exe -k netsvcs"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"Type" = "110"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"Start" = "2"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\Messenger\"ImagePath" = "C:\WINDOWS\system32\[ORIGINALLY EXECUTED FILE NAME].exe -k netsvcs"


Журнал нажатых клавиш сохраняется в файле .hke с именем, совпадающим с именем первоначально запущенного носителя, в системной директории Windows.

Периодически отсылает данные и обновляет себя через URL [http://]packer.8800.org:53/3008[???] и [http://]nodns2.qipian.org/ccs[???].
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows с клавиатурным шпионом. Периодически отправляет данные - журнал нажатых клавиш - на сайт атакующего.

источник: Symantec.com

[lastmylove]

Trojan.Garntet

Признаки

Признаки

При запуске создает драйвер %System%\drivers\[случайное_имя].sys.

Создает в реестре следующие ключи:

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[случайное_имя]
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[случайное_имя]


[случайное_имя] - то же, что и у .sys.

Затем загружает файл настроек с URL [http://]www.in-t-e-r-n-e-t.com/bootup.[???]

В зависимости от настроек, загружает дополнительный код со следующих URL:

* [http://]www.in-t-e-r-n-e-t.com/manifests/Notifi[???]
* [http://]www.in-t-e-r-n-e-t.com/manifests/UrlMoni[???]
* [http://]www.in-t-e-r-n-e-t.com/manifests/AppMana[???]
* [http://]www.in-t-e-r-n-e-t.com/core.10[???]
* [http://]www.in-t-e-r-n-e-t.com/UrlMonitor[???]
* [http://]www.in-t-e-r-n-e-t.com/AppManager[???]
* [http://]www.in-t-e-r-n-e-t.com/Notifier.[???]


Создает из загруженных компонентов файл %System%\drivers\core.cache.dsk.

Собирает о компьютере следующие данные:

* IP
* Версия ОС
* ID продукта ОС
* Название используемого браузера
* Версия браузера
* Данные о User Agent


Данные отправляются по URL [http://]www.i-nt-e-r-n-e-t.com/c[???]

Троян скрывает себя с использованием руткита.

Открывает "черный ход" на захваченном компьютере. Список функций:

* Загрузка файлов удаленно
* Выполнение файлов
* Модификации в реестре
* Отслеживает сетевую активность


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Открывает на захваченном компьютере "черный ход" и загружает из интернета дополнительный вредоносный код.

источник: Symantec.com

[lastmylove]

Trojan.Virantix.C

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\dllcache\figaro.sys
* %System%\braviax.exe


#R%system

Перезаписывает следующие файлы файлом figaro.sys:

* %Windir%\drivers\beep.sys
* %System%\dllcache\beep.sys
* %System%\drivers\beep.sys


(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Для активации файлов figaro.sys и braviax.exe перезагружает компьютер.

После перезагрузки троян отображает сообщение от имени Windows о зараженности системы:

Your computer is infected!

Windows has detected spyware infection!

It is recomended to use special antispyware tools to prevent data loss. Windows will now download and install the most up-to-date antispyware for you.

Click here to protect your computer from spyware!

Затем создает следующие файлы:

* %текущая_директория%\delself.bat
* %System%\univrs32.dat


Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"braviax" = "%System%\braviax.exe"


Модифицирует в реестре записи, ослабляющие защиту системы:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"AntiVirusDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"FirewallDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCent er\"UpdatesDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"AntiVirusDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"FirewallDisableNotify" = "01000000"
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCente r\"UpdatesDisableNotify" = "01000000"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\FirewallPolicy\Standard Profile\EnableFirewall" = "00000000"


Модифицирует в реестре настройки защиты доступа в интернет через Internet Explorer:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\0\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\1\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\2\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\3\"2500" = "03000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1200" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1201" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1208" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1608" = "00000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"1804" = "01000000"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\InternetSettings\Zones\4\"2500" = "03000000"


Также модифицирует следующие настройки реестра:

* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"EnableBrowserExtensions" = "yes"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"SearchBar" = "http://www.google.com/ie"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"SearchPage" = "http://www.google.com"
* HKEY_CURRENT_USER\Software\Microsoft\InternetExplo rer\Main\"StartPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"Default_Search_URL" = "http://www.google.com/ie"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"SearchPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Main\"StartPage" = "http://www.google.com"
* HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExpl orer\Search\"SearchAssistant" = "http://www.google.com"


Пытается загрузить нежелательное приложение с URL [http://]www.softcashier.com/members/link[удалено]

На момент написания заметки это было приложение WinReanimator.

Затем может завершить следующие процессы:

* aluschedulersvc.exe
* appsvc32.exe
* apvxdwin.exe
* ashmaisv.exe
* ashserv.exe
* ashwebsv.exe
* autoruns.exe
* avciman.exe
* avengine.exe
* avgagent.exe
* avgamsvr.exe
* avgas.exe
* avgas.exe
* avgcc.exe
* avgemc.exe
* avgemc.exe
* avgupsvc.exe
* avgupsvc.exe
* avgw.exe
* avgw.exe
* avp.exe
* avpcc.exe
* avpm.exe
* avsched32.exe
* avz.exe
* bdmcon.exe
* bdss.exe
* bolenja.exe
* bolenjx.exe
* cavrid.exe
* cavtray.exe
* ccapp.exe
* ccevtmgr.exe
* ccevtmgr.exe
* ccimscan.exe
* ccproxy.exe
* ccpwdsvc.exe
* ccpwdsvc.exe
* ccpxysvc.exe
* ccsetmgr.exe
* ccsetmgr.exe
* ccsvchst.exe
* combo.exe
* combofix
* comboxfix.exe
* cpd.exe
* cpf.exe
* crypserv.exe
* cureit.exe
* defwatch.exe
* dsentry.exe
* dss.exe
* eyetidecontroller.exe
* farsighter.exe
* fatbuster.exe
* fsav32.exe
* fsbl.exe
* f-sched.exe
* fsm32.exe
* f-stopw.exe
* fwservice.exe
* gcasdtserv.exe
* gcasserv.exe
* globkill.exe
* gmer.exe
* hackmon.exe
* hbtoeaddon.exe
* hijackthis
* hitvirus.exe
* hwpe2.exe
* iao.exe
* icmon.exe
* inetupd.exe
* ismini.exe
* isnotify.exe
* issvc.exe
* issvc.exe
* kav.exe
* kavss.exe
* kavsvc.exe
* killbox.exe
* klpf.exe
* klswd.exe
* kmd.exe
* kpf4ss.exe
* little_helper2.exe
* livesrv.exe
* lsasrv.exe
* lsass32.exe
* lsetup.exe
* lucoms~1.exe
* magiclink.exe
* malscr.exe
* malswep.exe
* mcshield.exe
* msmpeng.exe
* msssrv.exe
* mwsoemon.exe
* myvideodaily2.exe
* navapp.exe
* navapsvc.exe
* navapsvc.exe
* navapsvc.exe
* navilog
* navstub.exe
* navw32.exe
* nisum.exe
* njexplor.exe
* nlsupervisorpro.exe
* no32mon.exe
* nod32krn.exe
* nod32ra.exe
* nortonupdate.exe
* nsmdtr.exe
* nvctrl.exe
* ofcdog.exe
* op_mon.exe
* outpost.exe
* overseer.exe
* overspy.exe
* pavfnsvr.exe
* pavfnsvr.exe
* pavprsrv.exe
* pavsrv51.exe
* pbcpl.exe
* pboptions.exe
* pifsvc.exe
* prevxcsi.exe
* prevxcsi.exe
* printer.exe
* procmast.exe
* psctrls.exe
* pshost.exe
* psimsvc.exe
* pskmssvc.exe
* rootkit_detektive.exe
* rtvscan.exe
* sandboxieserver.exe
* savscan.exe
* savscan.exe
* sbserv.exe
* sdfix.exe
* sdtrayapp.exe
* sndmon.exe
* sndsrvc.exe
* spbbcsvc.exe
* spyblock.dll
* spybot.exe
* spybotsd.exe
* spywaredetector.exe
* superantispyware.exe
* svcntaux.exe
* svcntaux.exe
* swdsvc.exe
* swdsvc.exe
* symlcsvc.exe
* symlcsvc.exe
* symwsc.exe
* thguard.exe
* tpsrv.exe
* trjscan.exe
* vundofix.exe
* winavxx.exe
* zclient.exe
* zcodec.exe
* zcomservice.exe


Пытается предотвратить загрузку следующих драйверов:

* bc_hassh_f.sys
* bcfilter.sys
* bcftdi.sys
* vsdatant.sys
* watchdog.sys


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Отображает сообщение о зараженности системы от имени Windows, пытается загрузить из интернета нежелательные приложения, завершает антивирусные приложения.

источник: Symantec.com

[lastmylove]

Infostealer.Fertippy

Признаки

Признаки

При запуске проверяет/создает мутекс "i_iut7gtjuhj221v2", обеспечивающий однократное присутствие копии трояна в памяти.

Создает в реестре следующие записи:

* HKEY_USERS\S-1-5-21-2022063256-1342405650-1969242035-500\Software\ Microsoft\Windows\CurrentVersion\Internet Settings\"GlobalUserOffline" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplicati ons\List\"[путь к трояну]" = "[путь к трояну]:*:Enabled:ipsec"


Собирает реквизиты доступа к FTP из приложений "Total Commander", "FAR Manager" и "CuteFTP".

В случае обнаружения реквизитов, подключается к серверам и внедряет iframe в следующие файлы, если они найдены:

* index.htm
* main.htm
* default.htm
* index.php
* main.php
* default.php


Iframe (плавающая рамка) указывает на сайт [http://]money2008.org.

Данные об учетных записях отправляются по URL [http://]89.149.227.194.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Ищет в системе реквизиты доступа к FTP, подключается к серверам и внедряет код загрузки других сайтов в определенные HTML-файлы. Данные о реквизитах отправляются атакующему на веб-сервер.

источник: Symantec.com

[lastmylove]

Adware.Okcashbackmall
Признаки

Признаки

При запуске создает следующие файлы:

* %ТекущаяДиректория%\tmp_1023921881.exe
* %ТекущаяДиректория%\DelZip179.dll
* %ДиректорияПрофиляПользователя%\Desktop\[Корейские_Символы].lnk
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ДиректорияПрофиляПользователя%\Favorites\[Корейские_Символы]\[Корейские_Символы].url
* %ProgramFiles%\cashbackkorea\auction.ico
* %ProgramFiles%\cashbackkorea\cashbackkorea.dll
* %ProgramFiles%\cashbackkorea\cashbackkoreabar.dll
* %ProgramFiles%\cashbackkorea\shoppingmall.zip
* %ProgramFiles%\cashbackkorea\uninstall.exe
* %ProgramFiles%\cashbacksys\auction.ico
* %ProgramFiles%\cashbacksys\cashbacksys.dll
* %ProgramFiles%\cashbacksys\cashbacksysbar.dll
* %ProgramFiles%\cashbacksys\shoppingmall.zip
* %ProgramFiles%\cashbacksys\uninstall.exe
* %ProgramFiles%\mizane\auction.ico
* %ProgramFiles%\mizane\mizane.dll
* %ProgramFiles%\mizane\mizanebar.dll
* %ProgramFiles%\mizane\shoppingmall.zip
* %ProgramFiles%\okcashbackmall\uninstall.exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\dwqblw[Случайные_символы].exe
* %System%\icons.dll
* %System%\img1.flv
* %System%\img2.flv
* %System%\tempfiles_[RANDOM NUMBERS].exe
* %System%\zadwqblw[Случайные_символы].exe
* %System%\zadwqblw[Случайные_символы].exe


Обеспечивает себе автозагрузку при каждом запуске системы. Для этого создает в реестре следующие записи:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwppx.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwpvl.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce\"dwqblwrsq.exe" = "C:\WINDOWS\system32\dwqblw[Случайные_символы].exe"


Также создает в реестре следующие подключи:

* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{1DE525ED-EF71-4119-8C3C-1CE5315ADA74}
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{D04358AE-CE03-4A26-9F02-69C4D3A5267F}
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\User Agent
* HKEY_CLASSES_ROOT\CLSID\{1DDE8A86-89D8-4B55-A936-65C40B6A8DD0}
* HKEY_CLASSES_ROOT\CLSID\{1DE525ED-EF71-4119-8C3C-1CE5315ADA74}
* HKEY_CLASSES_ROOT\CLSID\{4D2D9681-C234-47A3-B499-9CEE26FF54C2}
* HKEY_CLASSES_ROOT\CLSID\{7AC1D6D1-B83B-4D77-A916-839F90216BC7}
* HKEY_CLASSES_ROOT\CLSID\{D04358AE-CE03-4A26-9F02-69C4D3A5267F}
* HKEY_CLASSES_ROOT\cashbackkorea.cashbackkorea.com
* HKEY_CLASSES_ROOT\cashbackkoreabar.cashbackkorea
* HKEY_CLASSES_ROOT\cashbacksys.cashbacksys.com
* HKEY_CLASSES_ROOT\cashbacksysbar.cashbacksys.com
* HKEY_CLASSES_ROOT\mizane.mizane.com
* HKEY_CLASSES_ROOT\mizanebar.mizane.com
* HKEY_CLASSES_ROOT\okcashbackmall.okcashbackmall.co m
* HKEY_CLASSES_ROOT\okcashbackmallbar.okcashbackmall .com.Bar
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{1DDE8A86-89D8-4B55-A936-65C40B6A8DD0}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{4D2D9681-C234-47A3-B499-9CEE26FF54C2}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{7AC1D6D1-B83B-4D77-A916-839F90216BC7}
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows cashbackkorea Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows cashbacksys Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Windows mizane Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\okcashbackmall Uninstall
* HKEY_LOCAL_MACHINE\SOFTWARE\cashbackkorea


Затем подключается к URL [http://]okcashbackmall.com/down/ho[???] и загружает оттуда файлы. Файлы сохраняются как:

* %ProgramFiles%\mizane\uninstall.exe
* %ProgramFiles%\okcashbackmall\okcashbackmall.dll
* %ProgramFiles%\okcashbackmall\okcashbackmallbar.dl l


Файл okcashbackmall.dll регистрируется как вспомогательный объект браузера (BHO) 1DDE8A86-89D8-4B55-A936-65C40B6A8DD0, использующийся для отслеживания работы браузера и периодического перенаправления.
ЗАЩИТА

Для удаления приложения используйте антивирусную программу, содержащую ее определение в своих базах. Затем удалите созданные приложением элементы реестра при помощи "Редактора реестра" (regedit.exe).
Действие

Adware для платформы Windows. Может перенаправлять браузер на другие веб-страницы без ведома пользователя.

Имя приложения: okcashbackmall install, версия 1.0.0.0.

источник: Symantec.com

[lastmylove]

W32.Madag.A

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\export\services.exe
* %System%\normal.dot
* c:\Windows\winsyst.exe
* c:\WINDOWS\winnt.exe


Примечание: %System% - системная директория Windows (для NT..Vista, обычно, C:\Windows\System32)

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующие записи:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"this free" = "c:\Windows\winsyst.exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"vbwq cute" = "c:\WINDOWS\winnt.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogin\"Shell" = "Explorer.exe c:\WINDOWS\winnt.exe"


Также модифицирует в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\CurrentControlSet\Cont rol\SafeBoot\"AlternateShell" = "c:\WINDOWS\winsyst.exe"
* HKEY_CLASSES_ROOT\.inf\"Default" = "txtfile"
* HKEY_CLASSES_ROOT\.reg\"Default" = "txtfile"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "2"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"SuperHidden" = "1"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Folder\SuperHidden\"Ch eckedValue" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Folder\SuperHidden\"De faultValue" = "0"


Распространяется копированием себя в корень съемных дисков под именем Thoojloi.exe. Там же создает файл автозапуска autorun.inf, обеспечивающий автозагрузку вышеуказанного .exe при подключении диска к системе. Autorun.inf имеет атрибуты "системный" и "скрытый".

"Заражает" файлы Microsoft Word (.doc): записывает себя в начало, перемещая оригинальное содержимое в конец файла, и переименовывает расширение документа в .exe. При запуске такого файла открывает работоспособный документ.

Может завершать приложения, в заголовках окон которых содержатся следующие строки:

* .task
* anti
* application data
* command prompt
* compact
* compiler
* delphi
* detect
* hacker
* hijack
* killbox
* movzx
* process
* registry
* security
* superdat
* system32
* vbde
* virus
* visual


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием на съемные носители и "заражает" документы Word (.doc), переименовывая их в .exe с сохранением содержимого.

источник: Symantec.com

[lastmylove]

VBS.Solow.F

Признаки

Признаки

При запуске копирует себя как %Windir%\bhotiok.dll.vbs

(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"bhotiok" = "%Windir%\bhotiok.dll.vbs"


Через реестр заменяет заголовки окон Internet Explorer и Notepad ("Блокнот")

* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "Careful [удалено] is already jogging . . . saon na lang?"
* HKEY_CURRENT_USER\Software\Microsoft\Notepad\Main\ "Window Title" = "Careful [удалено] is already jogging . . . saon na lang?"


Может отображать сообщение: [удалено]'s best chicharon

Распространяется копированием себя в корень всех дисков, которым присвоена буква, под именем bhotiok.dll.vbs.

Там же (кроме диска A создает файл autorun.inf, обеспечивающий автозапуск исполняемого файла при подключении диска к системе.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows, написанный на языке Visual Basic Script. Распространяется копированием на съемные диски.

источник: Symantec.com

[lastmylove]

W32.Wowinzi.A

Признаки

Признаки

Может попасть на компьютер через вредоносные веб-страницы.

При запуске создает следующие файлы:

* %System%\windows.txt
* %Windir%\Tasks\0x01xx8p.exe


(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Также создает следующме файлы - копии spoolsv.exe:

* %Windir%\Tasks\SysFile.brk
* %Windir%\Tasks\spoolsv.ext


Модифицирует следующие файлы:

* %System%\dllcache\spoolsv.exe
* %System%\spoolsv.exe


Возможна установка в систему и запуск следующих компонентов:

* %Temp%\dat[случайное_16ричное_число].tmp (Hacktool.Rootkit)
* %Temp%\dat[случайное_16ричное_число].tmp (Infostealer.Gampass)


(Примечание: %Temp% - директория для временных файлов)

Копирует себя на все диски, которым присвоена буква, в корень, под именем MSDOS.bat. Там же создает файл autorun.inf, обеспечивающий автозапуск MSDOS.bat при подключении диска к системе.

Удаляет из системы файл %System%\verclsid.exe

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Shell" = "%System%\Rundll32.exe %System%\shell32.dll Control_RunDLL %Temp%\dat[случайное_16ричное_число].tmp"


СОздает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Data\Config\"http://winzipices.cn/1.exe" = "http://winzipices.cn/1.exe"
* HKEY_CURRENT_USER\_reg\"Shell" = "%System%\Rundll32.exe %System%\shell32.dll Control_RunDLL %Temp%\dat[случайное_4значное_16ричное_число].tmp"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"RxMru" = [двоичные_данные]
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"mrulist" =" %Temp%\dat[случайное_4значное_16ричное_число].tmp"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"sysfile" = "%System%\1.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E25C29A B-12B9-4523-A53C-324B5FBA648C}\InProcServer32\"(Default Value)" = "%Temp%\dat[случайное_16ричное_число].tmp"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\ShellExecuteHooks\"{E25C29AB-12B9-4523-A53C-324B5FBA648C}" = "0"


Запрашивает настройки с сайта [http://]winzipices.cn/confi[удалено]

В зависимости от содержания файла настроек, может выполнить следующие действия:

* Загрузить в систему и выполнить файл
* Собрать из файлов адреса электронной почты
* Заразить исполняемые файлы
* Скопировать себя на все диски
* Скопировать себя на доступные сетевые ресурсы
* Встроить вредоносный код в веб-страницы на компьютере


Затем загружает и выполняет свою копию с URL [http://]winzipices.cn/[удалено]

Собирает конфиденциальную информацию; данные отправляет на URL [http://]winzipices.cn/tong/post[удалено]

Открывает в системе "черный ход", который пытается подключиться к серверу 61.134.37.15:1800/TCP.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь-троян для платформы Windows. Распространяется копированием себя на все диски, которым присвоена буква. Модифицирует исполняемые файлы. Загружает в систему дополнительный вредоносный код. Похищает конфиденциальную информацию.

источник: Symantec.com

[lastmylove]

JS.Faizal

Признаки

Признаки

При запуске копирует себя как %System%\faizal.js

(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"faizal" = "wscript.exe C:\WINDOWS\system32\faizal.js"


Также создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\WinLogon\"LegalNoticeCaption" = "FAIZAL"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\WinLogon\"LegalNoticetext" = "You have been infected by FAIZAL virus"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Software\Microsoft\Win dows\CurrentVersion\Policies\Explorer\NoClose\Soft ware\Microsoft\Windows\CurrentVersion\Policies\Exp lorer\NoRun\Software\Microsoft\Windows\CurrentVers ion\Policies\Explorer\NoDrives\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "faizal"


Распространяется копированием в корень всех дисков, которым присвоена буква. На диски копируются файлы faizal.js и AutoRun.inf. Последний обеспечивает червю автозапуск при подключении диска к системе.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Написан на языке JavaScript. Распространяется копированием на все диски, которым присвоена буква.

источник: Symantec.com

[lastmylove]

W32.Zapinit

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\ntpl.bin
* %System%\sbmf.ln


(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

Также копирует файлы, принадлежащие Backdoor.Zapinit:

* %System%\cc.ln
* %System%\lght.ln
* %System%\msnf.ln
* %System%\nvrsma.dll
* %System%\pryx.ln


Также создает файл журнала %Windir%\sys.log

(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Модифицирует файлы:

* %System%\dllcache\user32.dll
* %System%\user32.dll


В результате Windows при старте обращается не к стандартному разделу реестра, отвечающему за автозапуск, а к установленному червем (см.ниже).

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"pjpInit_Dlls" = "nvrsma"

Оригинальный файл user32.dll копируется под случайным именем в %System%.

Создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"st" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"mid" = "[HEXADECIMAL CHARACTERS]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"dwn" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"ccnt" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"nhr" = "1"


* HKEY_LOCAL_MACHINE\SOFTWARE\1
* HKEY_LOCAL_MACHINE\SOFTWARE\6
* HKEY_LOCAL_MACHINE\SOFTWARE\7
* HKEY_LOCAL_MACHINE\SOFTWARE\8
* HKEY_LOCAL_MACHINE\SOFTWARE\9


Пытается подключиться к следующим URL:

* [http://]66.36.241.45/sdb/gate/[удалено]
* [http://]66.36.241.45/sdb/gate/data[удалено]


Распространяется копированием на совместно используемые сетевые ресурсы, подключаясь к учетной записи "Administrator".

В случае защищенности паролем, подбирает его по словарю:

* !@#

* 00
* 1
* 11
* 1212
* 123
* 123456
* 13
* 1313
* 666
* 777
* adm
* admin
* administrator
* asa
* pass
* password
* q
* qaz
* qazxsw
* qqq
* qwerty
* test
* zaq
* zaqwsx
* zzz


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием на совместно используемые сетевые ресурсы (network shares), в частности, подбирая простые пароли. Устанавливает в системе копию Backdoor.Zapinit.

источник: Symantec.com

[lastmylove]

W32.Mariofev.A

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\[случайное имя]
* %System%\bmf.cs
* %System%\ccs.so
* %System%\gh.l
* %System%\mn.n
* %System%\ntpl.bin
* %System%\nvrsma.dll
* %System%\yl.po


Также может создавать следующие файлы:

* %System%\acl.exe
* %System%\MarioForever.exe
* %текущий_диск%:\MarioForever.exe


(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

Модифицирует следующие файлы:

* %System%\dllcache\user32.dll
* %System%\user32.dll


Создает следующие записи в реестре:

* HKEY_LOCAL_MACHINE\SOFTWARE\[число]\"[34значное_16ричное_число]" = "[случайные_данные]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"ztpInit_Dlls" = "nvrsma"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"ccnt" = "[количество_попыток_заражения]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"mid" = "[случайные_16ричные_данные]"


Может удалять в реестре записи, принадлежащие антивирусным, защитным и некоторым другим приложениям. Определяет их по следующим строкам:

* *\shellex\ContextMenuHandlers\NOD32 Context Menu Shell Extension
* AllFilesystemObjects\shellex\ContextMenuHandlers\S pySweeper
* ALWIL Software\Avast
* Arovax AntiSpyware
* Chilkat Software, Inc.
* ComputerAssociates\eTrustPestPatrol
* Doctor Web, Ltd.
* FRISK Software International
* Grisoft\AVGAntiSpyware
* KasperskyLab
* McAfee\McAfee AntiSpyware
* McAfee\VirusScan
* Panda Software
* PepiMK Software\SpybotSnD
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\Ad-aware 6 Personal
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\Ad-Aware SE Personal
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\AntiVir PersonalEdition Classic
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\ClamAV
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\SpywareBlaster_is1
* SOFTWIN\BitDefender Desktop\Maintenance\Install
* Spyware Begone!
* Symantec\Symantec AntiVirus
* SYSTEM\ControlSet001\Services\avgntflt
* SYSTEM\CurrentControlSet\Services\WinDefend
* Ukranian Antivirus center
* Vba32
* VMware, Inc.
* VMware, Inc.\VMware Tools


Создает сервис с автоматическим типом запуска, именем SCNa, отображаемым именем "SCNa Service".

Регистрирует сервис через реестр, создавая подключ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SCNa.

Может подключаться к URL для отчета о захвате системы и возможном обновлении себя:

* [http://]66.36.241.45/sdb/gate/[удалено]
* [http://]66.36.241.45/sdb/gate/data[удалено]


Распространяется копированием на совместно используемые сетевые ресурсы.

В случае защищенности ресурса паролем, пытается подобрать его по словарю:

* !@#
* 1212
* 123
* 123456
* 1313
* 666
* 777
* adm
* admin
* administrator
* asa
* pass
* password
* qaz
* qazxsw
* qqq
* qwerty
* test
* zaq
* zaqwsx
* zzz


Пытается копировать себя в корень всех дисков, которым присвоена буква, под именем acl.exe.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием себя на совместно используемые сетевые ресурсы (network shares) и диски, которым присвоена буква.

источник: Symantec.com