Вредоносное ПО (Обзор)

[lastmylove]

Spyware.SpyPal
Признаки

При установке создаёт директории:

%ProgramFiles%\SPSS
%ProgramFiles%\SPSS\data
%ProgramFiles%\SPSS\logs
%ProgramFiles%\SPSS\scrshot

Также создаёт файлы:

%System%\psreginf.ini
%UserProflie%\Local Settings\Temp\~DF[СЛУЧАЙНЫЕ СИМВОЛЫ].tmp
%ProgramFiles%\SPSS\apsvc.exe
%ProgramFiles%\SPSS\data\data.dat
%ProgramFiles%\SPSS\data\ps_demo_report.html
%ProgramFiles%\SPSS\data\reginf.ini
%ProgramFiles%\SPSS\data\testftpok.html
%ProgramFiles%\SPSS\data\usrproc.exe
%ProgramFiles%\SPSS\data\winserv.exe
%ProgramFiles%\SPSS\help.chm
%ProgramFiles%\SPSS\License.txt
%ProgramFiles%\SPSS\readme.txt
%ProgramFiles%\SPSS\scrshot\[СЛУЧАЙНОЕ ИМЯ].jpg
%ProgramFiles%\SPSS\unins000.dat
%ProgramFiles%\SPSS\unins000.exe
%System%\fltmc001.dat
%System%\fltmc002.dat
%System%\fltmc003.dat
%System%\reghost.exe

Записывает ссылку на себя в раздел реестра, отвечающий за автозапуск приложений при старте системы:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"reghost" = "%System%\reghost.exe"

Создаёт подключи реестра:

HKEY_CLASSES_ROOT\CLSID\{5883CA7C-B619-45C9-8E5D-DD6F7EA91785}
HKEY_CLASSES_ROOT\Interface\{FC279BC4-9E6E-4999-93E2-3AE39CCE2927}
HKEY_CLASSES_ROOT\Mapiprop.MAPIPropWrapper
HKEY_CLASSES_ROOT\TypeLib\{64DEBE33-C381-465B-A707-3F56C5B93470}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\SpyPal Spy Software_is1

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Шпионское приложение SpyPal v4.6.1 от Thinkertec.
Собирает следующую информацию:

URL посещённых веб-сайтов
Электронные письма
Переписка в ICQ, MSN, Yahoo! IM, AIM, Skype
Запускаемые приложения
Открываемые документы
Открываемые окна
Ввод с клавиатуры
Скриншоты (периодически)

Источник: Symantec.com

[lastmylove]

Adware.InstallProvider

Признаки

При первом запуске создаёт следующие файлы:

C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Cookies\[СЛУЧАЙНЫЙ ПОЛЬЗОВАТЕЛЬ]@84.243.251[2].txt
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ФАЙЛА].exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\Installer.exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\InstallOptions.dll
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Start Menu\Programs\Install Provider\InstallProvider.url
C:\Program Files\Install Provider\data.ini
C:\Program Files\Install Provider\Install Provider.ico
C:\Program Files\Install Provider\InstallProvider.dll
C:\Program Files\Install Provider\InstallProvider.dlldat



Создаёт в реестре следующие подключи:


HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Install Provider
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadMana ger
HKEY_LOCAL_MACHINE\SOFTWARE\Install Provider
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}



Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Install Provider v1.0.18.0, разработчик - Install Provider.

Представляет собой панель инструментов (Toolbar) с окном поиска в интернете. При попытке загрузить файл с использованием Install Provider, программа отображает рекламу веб-сайтов, содержащих другой adware: avsystemcare.com и drivecleaner.com.

Источник: Symantec.com

[lastmylove]

YahooSpyMon
Признаки

При запуске создаёт директорию для хранения журнала информации Yahoo Messenger: %ProgramFiles%\YIMCS\logs.

Устанавливает следующие файлы:

%UserProfile%\Local Settings\Temp\DRDld\yimspymonitor.exe
%CommonProgramFiles%\Download Manager\Yahoo! Messenger Spy Monitor\LMDOWNLOADINFO.xml
%ProgramFiles%\YIMCS\data\dpnsvry.exe
%ProgramFiles%\YIMCS\data\emxfile003.dat
%ProgramFiles%\YIMCS\data\ps_demo_report.html
%ProgramFiles%\YIMCS\data\testftpok.html
%ProgramFiles%\YIMCS\data\vssvcy.exe
%ProgramFiles%\YIMCS\data\yimusr.ini
%ProgramFiles%\YIMCS\help.chm
%ProgramFiles%\YIMCS\License.txt
%ProgramFiles%\YIMCS\readme.txt
%ProgramFiles%\YIMCS\unins000.dat
%ProgramFiles%\YIMCS\unins000.exe
%ProgramFiles%\YIMCS\winyim.exe
%System%\adsnwy.exe
%System%\mxpvct22.dat
%System%\mxpvct25.dat
%System%\yimappini.ini

Создаёт ключи в реестре:

HKEY_ALL_USERS\Software\Digital River
HKEY_ALL_USERS\Software\Digital River\SoftwarePassport\Download Manager\6FFCFD13AF7A92143F5AD29D6134E432
HKEY_ALL_USERS\Software\Digital River\SoftwarePassport\eMatrixSoft\Yahoo! Messenger Spy Monitor
HKEY_CLASSES_ROOT\CLSID\{A4643A87-99A0-4404-9BC5-2322BDD61637}
HKEY_CLASSES_ROOT\CLSID\{A46E5261-9956-4767-88CA-DFCED050D09E}
HKEY_CLASSES_ROOT\CLSID\{A7EC2CD3-9941-4FD4-9D01-105DC16A4313}
HKEY_CLASSES_ROOT\Chilkat.Email2
HKEY_CLASSES_ROOT\Chilkat.EmailBundle2
HKEY_CLASSES_ROOT\Chilkat.MailMan2
HKEY_CLASSES_ROOT\ChilkatMail2.ChilkatEmail2
HKEY_CLASSES_ROOT\ChilkatMail2.ChilkatEmailBundle2
HKEY_CLASSES_ROOT\ChilkatMail2.ChilkatMailMan2
HKEY_CLASSES_ROOT\Interface\{06544919-F559-4AE5-9001-F903BD8A84E6}
HKEY_CLASSES_ROOT\Interface\{4340DF8E-D7A3-4675-BE74-80077B2B3E81}
HKEY_CLASSES_ROOT\Interface\{51A0888C-9970-44DE-8C2C-835BA870D06F}
HKEY_CLASSES_ROOT\Interface\{5ACAE4B8-62D9-4124-A58A-9B1258B77E99}
HKEY_CLASSES_ROOT\Interface\{7D37DED8-1945-4E42-A3FD-B9620E0AD8E3}
HKEY_CLASSES_ROOT\Interface\{C4C23B78-DB98-444C-B601-DCAC6EBBEC54}
HKEY_CLASSES_ROOT\Interface\{CCB7FB40-99EC-4678-9202-52798DA78ABA}
HKEY_CLASSES_ROOT\Interface\{D12FB216-99DA-4EB3-9CC0-C0F760B174A0}
HKEY_CLASSES_ROOT\Interface\{D56C1AF1-3FDE-471C-9BC2-C52515F260C1}
HKEY_CLASSES_ROOT\Interface\{E656B867-992C-4462-A27D-EBE604EC3A48}
HKEY_CLASSES_ROOT\TypeLib\{1DF3AFED-99E0-4474-9900-954B8FD24E86}

Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку при старте системы:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"adsnwy" = "%System%\adsnwy.exe"

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Yahoo Messenger! Spy Monitor, версия 6.4.3, от eMatrixSoft.

Записывает информацию из Yahoo Messenger! в файл журнала на локальном компьютере.

Источник: Symantec.com

[lastmylove]

Spyware.TypeTeller

Признаки

При установке создаёт директорию "%CurrentFolder%\TypeTeller 2006". Создаёт файлы: #UL %CurrentFolder%\TypeTeller 2006\typeteller.exe %CurrentFolder%\TypeTeller 2006\typeteller.dll %CurrentFolder%\TypeTeller 2006\typeteller.txt %CurrentFolder%\TypeTeller 2006\affiliates.txt %CurrentFolder%\TypeTeller 2006\rebrandit.txt %CurrentFolder%\TypeTeller 2006\first.run %CurrentFolder%\TypeTeller 2006\readme.txt #/UL Записывает ссылку на себя в раздел автозагрузки приложений при старте системы: #UL HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"typeteller" = "%CurrentFolder%\TypeTeller 2006\typeteller.exe" #/UL
Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Клавиатурный шпион. Сохраняет введённые с клавиатуры символы в файл журнала.

Источник: Symantec.com

[lastmylove]

Spyware.StealthChatMon
Признаки

При первом запуске создаёт файлы:

C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\AIMusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\ICQusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\MSNusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Skypeusers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\SysAllDaySysMessenger.xs l
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Sysbk.bmp
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\SysMessenger.xsl
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\SystemChatErrors.txt
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\TestEmail.xml
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Yahoousers.usr
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SendEmail.exe
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemChatHelp.chm
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessenger.dll
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessenger.exe
C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessengerUninstaller.ex e
C:\Documents and Settings\All Users\Application Data\SystemMessenger\xcacls.exe



Также создаёт директории для журналов переговоров:


C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\AIM
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\ICQ
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\MSN
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Skype
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Users
C:\Documents and Settings\All Users\Application Data\SystemMessenger\Logs\Yahoo



Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"SystemMessenger" = "C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\All Users\Application Data\SystemMessenger\SystemMessenger.dll" rdl"



Создаёт в реестре подключ HKEY_LOCAL_MACHINE\SOFTWARE\SystemMessenger.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Stealth Chat Monitor, версия 1.5 (build 93); разработчик - Amplusnet.

Программа-перехватчик текстовых переговоров интернет-пейджеров AIM, ICQ, MSN, Skype, Yahoo с функцией отсылки собранных данных по заданному адресу.

Источник: Symantec.com

[lastmylove]

Spyware.IESecurityPro

Признаки

При первом запуске создаёт следующие файлы:

C:\Documents and Settings\All Users\Start Menu\Programs\IE Security
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\IE Security help file.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\IE Security.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\Readme.lnk
C:\Documents and Settings\All Users\Start Menu\Programs\IE Security\Uninstall IE Security.lnk
%ProgramFiles%\IE Security
%ProgramFiles%\IE Security\alternate.html
%ProgramFiles%\IE Security\dfsrv.dll
%ProgramFiles%\IE Security\iesecpro.chm
%ProgramFiles%\IE Security\iesecpro.cnt
%ProgramFiles%\IE Security\iesecpro.dat
%ProgramFiles%\IE Security\iesecpro.dll
%ProgramFiles%\IE Security\iesecpro.exe
%ProgramFiles%\IE Security\iesecpro.hlp
%ProgramFiles%\IE Security\iesecpro.ini
%ProgramFiles%\IE Security\license.txt
%ProgramFiles%\IE Security\readme.txt
%ProgramFiles%\IE Security\Skins\BlueGlass\Master.bmp
%ProgramFiles%\IE Security\Skins\BlueGlass\Options.dat
%ProgramFiles%\IE Security\Skins\BlueIce\BG.JPG
%ProgramFiles%\IE Security\Skins\BlueIce\Master.bmp
%ProgramFiles%\IE Security\Skins\BlueIce\Options.dat
%ProgramFiles%\IE Security\Skins\BluePlastic\Master.bmp
%ProgramFiles%\IE Security\Skins\BluePlastic\Options.dat
%ProgramFiles%\IE Security\Skins\DarkGlass\Bkgnd.jpg
%ProgramFiles%\IE Security\Skins\DarkGlass\Master.bmp
%ProgramFiles%\IE Security\Skins\DarkGlass\Options.dat
%ProgramFiles%\IE Security\Skins\Desert\Master.bmp
%ProgramFiles%\IE Security\Skins\Desert\Options.dat
%ProgramFiles%\IE Security\Skins\Elegant\Master.bmp
%ProgramFiles%\IE Security\Skins\Elegant\Options.dat
%ProgramFiles%\IE Security\Skins\Golden\Master.bmp
%ProgramFiles%\IE Security\Skins\Golden\Options.dat
%ProgramFiles%\IE Security\Skins\GrayPlastic\Master.bmp
%ProgramFiles%\IE Security\Skins\GrayPlastic\Options.dat
%ProgramFiles%\IE Security\Skins\Ledenets\Master.bmp
%ProgramFiles%\IE Security\Skins\Ledenets\Options.dat
%ProgramFiles%\IE Security\Skins\LongHorn\Master.bmp
%ProgramFiles%\IE Security\Skins\LongHorn\Options.dat
%ProgramFiles%\IE Security\Skins\MacMetal\Master.bmp
%ProgramFiles%\IE Security\Skins\MacMetal\Options.dat
%ProgramFiles%\IE Security\Skins\MacOS\Biclose.bmp
%ProgramFiles%\IE Security\Skins\MacOS\BIMAX.BMP
%ProgramFiles%\IE Security\Skins\MacOS\BIMIN.BMP
%ProgramFiles%\IE Security\Skins\MacOS\Master.bmp
%ProgramFiles%\IE Security\Skins\MacOS\Options.dat
%ProgramFiles%\IE Security\Skins\Neutral\Master.bmp
%ProgramFiles%\IE Security\Skins\Neutral\Options.dat
%ProgramFiles%\IE Security\Skins\Neutral2\Master.bmp
%ProgramFiles%\IE Security\Skins\Neutral2\Options.dat
%ProgramFiles%\IE Security\Skins\Neutral3\Master.bmp
%ProgramFiles%\IE Security\Skins\Neutral3\Options.dat
%ProgramFiles%\IE Security\Skins\NextAlpha\Master.bmp
%ProgramFiles%\IE Security\Skins\NextAlpha\Options.dat
%ProgramFiles%\IE Security\Skins\Office2003\Master.bmp
%ProgramFiles%\IE Security\Skins\Office2003\Options.dat
%ProgramFiles%\IE Security\Skins\Retro\Master.bmp
%ProgramFiles%\IE Security\Skins\Retro\Options.dat
%ProgramFiles%\IE Security\Skins\Retro\WOOD.JPG
%ProgramFiles%\IE Security\Skins\Sand\Master.bmp
%ProgramFiles%\IE Security\Skins\Sand\Options.dat
%ProgramFiles%\IE Security\Skins\TheFrog\Bg.jpg
%ProgramFiles%\IE Security\Skins\TheFrog\Master.bmp
%ProgramFiles%\IE Security\Skins\TheFrog\Options.dat
%ProgramFiles%\IE Security\Skins\Winter2003\BG.JPG
%ProgramFiles%\IE Security\Skins\Winter2003\Master.bmp
%ProgramFiles%\IE Security\Skins\Winter2003\Options.dat
%ProgramFiles%\IE Security\Skins\XPLuna\Master.bmp
%ProgramFiles%\IE Security\Skins\XPLuna\Options.dat
%ProgramFiles%\IE Security\Skins\XPSilver\Master.bmp
%ProgramFiles%\IE Security\Skins\XPSilver\Options.dat
%ProgramFiles%\IE Security\ssc.exe
%ProgramFiles%\IE Security\unins000.dat
%ProgramFiles%\IE Security\unins000.exe

Создаёт в реестре следующие подключи:

HKEY_CLASSES_ROOT\CLSID\{49E0E0F0-5C30-11D4-945D-000000000000}
HKEY_CLASSES_ROOT\iesecpro.IESecurity
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{49E0E0F0-5C30-11D4-945D-000000000000}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Internet Explorer Security Pro_is1
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\S SC
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SSC
HKEY_LOCAL_MACHINE\SOFTWARE\IE Security



Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Отслеживает действия пользователя в Microsoft Internet Explorer

Источник: Symantec.com

[lastmylove]

Spyware.SysDetective

Признаки

При установке создаёт следующие файлы:

%ProgramFiles%\Sys Detective+\file[(ДАТА)ММДДГГГГ][(ВРЕМЯ)ЧЧММСС].jpg
%ProgramFiles%\Sys Detective+\Makecab.exe
%ProgramFiles%\Sys Detective+\Manual\acehelp.htm
%ProgramFiles%\Sys Detective+\Manual\activating.htm
%ProgramFiles%\Sys Detective+\Manual\advance.htm
%ProgramFiles%\Sys Detective+\Manual\automatic_email.htm
%ProgramFiles%\Sys Detective+\Manual\capture.htm
%ProgramFiles%\Sys Detective+\Manual\contact_address.htm
%ProgramFiles%\Sys Detective+\Manual\edit_menu.htm
%ProgramFiles%\Sys Detective+\Manual\email_and_ftp_setting.htm
%ProgramFiles%\Sys Detective+\Manual\export_to_avi_window.htm
%ProgramFiles%\Sys Detective+\Manual\file_menu__save_as.htm
%ProgramFiles%\Sys Detective+\Manual\fpace.gif
%ProgramFiles%\Sys Detective+\Manual\help_menu.htm
%ProgramFiles%\Sys Detective+\Manual\index.htm
%ProgramFiles%\Sys Detective+\Manual\installing.htm
%ProgramFiles%\Sys Detective+\Manual\key_logging.htm
%ProgramFiles%\Sys Detective+\Manual\license_information.htm
%ProgramFiles%\Sys Detective+\Manual\main_browse_window.htm
%ProgramFiles%\Sys Detective+\Manual\menu.htm
%ProgramFiles%\Sys Detective+\Manual\pcspysoftware_logo.jpg
%ProgramFiles%\Sys Detective+\Manual\quick_start.htm
%ProgramFiles%\Sys Detective+\Manual\security.htm
%ProgramFiles%\Sys Detective+\Manual\slide_show.htm
%ProgramFiles%\Sys Detective+\Manual\style.css
%ProgramFiles%\Sys Detective+\Manual\tools_menu.htm
%ProgramFiles%\Sys Detective+\Manual\view_menu.htm
%ProgramFiles%\Sys Detective+\Manual\watch_list_window.htm
%ProgramFiles%\Sys Detective+\Manual\web_site_monitoring.htm
%ProgramFiles%\Sys Detective+\sysd.exe
%ProgramFiles%\Sys Detective+\unins000.dat
%ProgramFiles%\Sys Detective+\unins000.exe
%ProgramFiles%\Sys Detective+\__acelog.ndx
%System%\sd16win.dll
%System%\noaccess.htm
%System%\exclam.bmp



Создаёт пустые файлы:


%System%\ijl11.dll
%System%\KTKbdHk.dll
%System%\Msmapi32.ocx



Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"regsvc" = "C:\Program Files\Sys Detective+\sysd"



Создаёт следующие подключи в реестре:


HKEY_ALL_USERS\Software\VB and VBA Program Settings\sysd
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Sys Detective+_is1



Также создаёт следующие пустые подключи:


HKEY_CLASSES_ROOT\Interface\{20C62CA2-15DA-101B-B9A8-444553540000}
HKEY_CLASSES_ROOT\Interface\{20C62CAD-15DA-101B-B9A8-444553540000}
HKEY_CLASSES_ROOT\Interface\{F49AC0B0-DF74-11CF-8E74-00A0C90F26F8}
HKEY_CLASSES_ROOT\Interface\{F49AC0B2-DF74-11CF-8E74-00A0C90F26F8}
HKEY_CLASSES_ROOT\MSMAPI.MAPIMessages
HKEY_CLASSES_ROOT\MSMAPI.MAPISession



Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Программа Sys Detective+, v2.3.5 от Indian Shareware Pro.

Функционал программы:


Скриншоты
Клавиатурный шпион
Сбор URL посещённых веб-сайтов
Закрытие окон с определёнными подстроками в названиях
Блокирование доступа к некоторым веб-сайтам
Отправка собранной информации по электронной почте или через FTP
Отправка электронного письма с оповещением о том, что пользователь набрал на клавиатуре определённое слово

Источник: Symantec.com

[lastmylove]

Troj/IBot-A
Признаки

При старте копирует себя в "\mdm.exe".

Записывает ссылку на себя в разделы реестра, обеспечивающие автозагрузку при каждом запуске системы:


HKCU\Software\Microsoft\Windows\CurrentVersion\Run \Microsoft Office = \mdm.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \Microsoft Office = \mdm.exe



Отключает через реестр сервис DCOM: HKLM\SOFTWARE\Microsoft\Ole\EnableDCOM=N

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает на компьютере "чёрный ход", подключаясь к каналу на IRC-сервере для связи с атакующим.

[lastmylove]

Troj/DwnLdr-GXA
Признаки

При запуске пытается внедрить свой код в новую копию svchost.exe.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Троянец-загрузчик. Загружает из интернета и выполняет другой вредоносный код: Mal/EncPk-C, Mal/Basine-A и Mal/Packer.

[lastmylove]

Troj/Enclag-A
Признаки

При первом запуске копирует себя в C:\wsusupd.exe.

Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:


HKLM\Software\Microsoft\Windows\CurrentVersion\Run \ShareSearcher=C:\wsusupd.exe

Записывает трафик и информацию о соединениях в файл %System%\SFList.exe и периодически загружает собранную информацию на FTP-сервер.

Может создавать следующие ключи реестра:


HKLM\Software\Microsoft\Windows\CurrentVersion\"UI D"
HKLM\Software\Microsoft\Windows\CurrentVersion\"LS pc"
HKLM\Software\Microsoft\Windows\CurrentVersion\"NV S"

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Ведёт журнал сетевых соединений и трафика; периодически отсылает эту информацию на FTP-сервер атакующего.

[lastmylove]

Troj/Laqma-A
Признаки

При первом запуске сохраняет себя как:

%System%\qm[СЛУЧАЙНЫЕ СИМВОЛЫ].exe
%System%\lanmanwrk.exe

Также создаёт файлы:

%System%\iexchg.dll
%System%\lanmandrv.sys
%System%\qmopt.dll
%System%\[ИСХОДНОЕ_ИМЯ_ФАЙЛА].jpg

Файл lanmandrv.sys также определяется как Troj/Laqma-A, и представляет собой руткит для сокрытия трояна в системе. Файл регистрируется как системный сервис "lanmandrv" с отображаемым именем "lanmandrv".
В реестре создаётся раздел "HKLM\SYSTEM\CurrentControlSet\Services\lanmandrv" .

Может удалить из реестра ключ для предотвращения автозапуска ZwQueryService:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run \ZwQueryService

Другое название вируса: Trojan-Downloader.Win32.Agent.bsh.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Найти и остановить сервис lanmandrv.
Действие
Загружает из интернета и выполняет дополнительный вредоносный код.

Ослабляет настройки безопасности системы.

Скрывает себя при помощи руткита.

[lastmylove]

Infostealer.Winotim

Признаки

При запуске создаёт следующие файлы:

C:\l.dll
%ProgramFiles%\Common Files\WMI\.delll
%ProgramFiles%\Common Files\WMI\wminotify.dll



Также создаёт пустые файлы, которые могут быть впоследствии удалены:


%ProgramFiles%\Common Files\WMI\.sets
%ProgramFiles%\Common Files\WMI\.un
%ProgramFiles%\Common Files\WMI\dirs.idx
Файл ".idx" во всех директориях



Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad\"WMI" = "{00954FA0-3B00-1FCC-00F3-040664009C02}"



Добавляет к процессу explorer.exe DLL-файл "%ProgramFiles%\Common Files\WMI\wminotify.dll" и перезагружает explorer.exe.

Собирает полный список файлов и директорий на всех доступных дисках и записывает их в "%ProgramFiles%\Common Files\WMI\dirs.idx". Может загружать некоторые из найденных файлов на FTP-сервер [ftp://]wgsmedia.net.


Список расширений файлов, интересующих трояна:


exe
dll
pif
doc
sys
hlp
avi
mp3
flv
zip
rar
gz
cab
chm
fon
ttf
cur
wav
gif
msi
mui
bmp



Загружает и выполняет файл [ftp://]wgsmedia.net/public_html/smarty/load[УДАЛЕНО].

Может также загружать файлы с командами атакующего с FTP-сервера [ftp://]wgsmedia.net.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Перехватывает сетевой трафик на захваченном компьютере и периодически отправляет его на удалённый FTP-сервер.
Открывает в системе "чёрный ход".
Загружает из интернета и выполняет дополнительный вредоносный код.

Источник: Symantec.com

[WeNZeeR]

Trojan.VBS.Envoy

Признаки:

При запуске троянец удаляет все файлы со всех логических дисков на зараженном компьютере кроме файлов с расширениями:

*.exe
*.com
*.dll

После чего в цикле отображает следующее сообщение:


Спокойно сносится антивирем.

[lastmylove]

Trojan.Farfli

Признаки и защита

Троян может попасть в систему со следующих URL: #UL [http://]install1.ring520.org/kk[УДАЛЕНО] [http://]install2.ring520.org/kk[УДАЛЕНО] [http://]install3.ring520.org/kk[УДАЛЕНО] [http://]install4.ring520.org/kk[УДАЛЕНО] #/UL При запуске записывает следующие файлы: #UL %SYSDIR%\[СЛУЧАЙНОЕ_ИМЯ].dll %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_2].sys %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_3].sys #/UL Создаёт файл: %UserProfile%\Favorites\[КИТАЙСКИЕ_СИМВОЛЫ].url Записывает в "Избранное" Microsoft Internet Explorer ссылку http://www.6781.com/?001. Создаёт следующие записи в реестре: #UL HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Cl ass\{8ECC055D-047F-11D1-A537-0000F8753ED1} HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IE4\"Main"= [СЛУЧАЙНОЕ_ИМЯ] #/UL Пытается загрузить файл с URL [http://]tmp.farfly.org/rpt[r[УДАЛЕНО]. Оповещает атакующего о факте захвата системы, подключаясь к URL [http://]tmp.farfly.org/tj/f3.[УДАЛЕНО]. Проверяет файл %Sysdir%\drivers\etc\hosts на предмет записей, содержащих следующие строки: #UL 9991. 2345. 7322. 7255. 6781. #/UL Меняет обозначение IP-адреса локальной машины со 127.0.0.1 на 127.0.0.2: #UL 127.0.0.2 localhost #/UL Устанавливает стартовую страницу Microsoft Internet Explorer на один из URL: #UL [http://]www.baidu.com/inde[УДАЛЕНО] [http://]www.kzdh.com[УДАЛЕНО] #/UL www.7255.com/?g about.blank.la?g
Защита
Троян может попасть в систему со следующих URL: #UL [http://]install1.ring520.org/kk[УДАЛЕНО] [http://]install2.ring520.org/kk[УДАЛЕНО] [http://]install3.ring520.org/kk[УДАЛЕНО] [http://]install4.ring520.org/kk[УДАЛЕНО] #/UL При запуске записывает следующие файлы: #UL %SYSDIR%\[СЛУЧАЙНОЕ_ИМЯ].dll %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_2].sys %SYSDIR%\drivers\[СЛУЧАЙНОЕ_ИМЯ_3].sys #/UL Создаёт файл: %UserProfile%\Favorites\[КИТАЙСКИЕ_СИМВОЛЫ].url Записывает в "Избранное" Microsoft Internet Explorer ссылку http://www.6781.com/?001. Создаёт следующие записи в реестре: #UL HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Cl ass\{8ECC055D-047F-11D1-A537-0000F8753ED1} HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_2] HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\[СЛУЧАЙНОЕ_ИМЯ_3] HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IE4\"Main"= [СЛУЧАЙНОЕ_ИМЯ] #/UL Пытается загрузить файл с URL [http://]tmp.farfly.org/rpt[r[УДАЛЕНО]. Оповещает атакующего о факте захвата системы, подключаясь к URL [http://]tmp.farfly.org/tj/f3.[УДАЛЕНО]. Проверяет файл %Sysdir%\drivers\etc\hosts на предмет записей, содержащих следующие строки: #UL 9991. 2345. 7322. 7255. 6781. #/UL Меняет обозначение IP-адреса локальной машины со 127.0.0.1 на 127.0.0.2: #UL 127.0.0.2 localhost #/UL Устанавливает стартовую страницу Microsoft Internet Explorer на один из URL: #UL [http://]www.baidu.com/inde[УДАЛЕНО] [http://]www.kzdh.com[УДАЛЕНО] www.7255.com/?g about.blank.la?g #/UL

Действие

Загружает в систему дополнительный вредоносный код; заменяет стартовую страницу Microsoft Internet Explorer.

Источник: Symantec.com

[lastmylove]

Troj/Agent-FZF

Признаки, защита и действие

При первом запуске создаёт файл %System%\vyoaudx.dll. Файл определяется как Troj/SpamTh-Gen.

Создаёт в реестре запись, обеспечивающую автозагрузку при каждом запуске системы:


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Exp lorer\SharedTaskScheduler\{2C1CD3D7-86AC-4068-93BC-A02304B25319}="DCOM Server 25319"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\She llServiceObjectDelayLoad\"DCOM Server 25319"="{2C1CD3D7-86AC-4068-93BC-A02304B25319}"

Регистрирует файл vyoaudx.dll как COM-объект, создавая раздел реестра HKCR\CLSID\{2C1CD3D7-86AC-4068-93BC-A02304B25319}.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает "чёрный ход", предоставляющий атакующему контроль над захваченной системой.