Вредоносное ПО (Обзор)

[lastmylove]

Adware.InstallProvider

Признаки, действие и защита

При запуске создаёт файлы:

C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Cookies\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]@84.243.251[2].txt
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ФАЙЛА].exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\Installer.exe
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Local Settings\Temp\[СЛУЧАЙНОЕ ИМЯ ДИРЕКТОРИИ]\InstallOptions.dll
C:\Documents and Settings\[ТЕКУЩИЙ ПОЛЬЗОВАТЕЛЬ]\Start Menu\Programs\Install Provider\InstallProvider.url
C:\Program Files\Install Provider\data.ini
C:\Program Files\Install Provider\Install Provider.ico
C:\Program Files\Install Provider\InstallProvider.dll
C:\Program Files\Install Provider\InstallProvider.dlldat



Создаёт подключи реестра:


HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A9344DE 7-59F2-40F8-9AE7-C203B67444DA}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BBA0C39 A-46D8-436D-BF53-6FB84997BC6E}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F93C5BF F-16F9-4DC5-B78C-EC46F896EE56}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\Install Provider
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadMana ger
HKEY_LOCAL_MACHINE\SOFTWARE\Install Provider
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Windows\CurrentV ersion\Ext\Stats\{F93C5BFF-16F9-4DC5-B78C-EC46F896EE56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\DownloadUI: "{BBA0C39A-46D8-436D-BF53-6FB84997BC6E}"
HKEY_ALL_USERS\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{A9344DE7-59F2-40F8-9AE7-C203B67444DA}



Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные программой (использовать regedit.exe)
Действие
Программа Install Provider v1.0.18.1 представляет панель для веб-поиска. При поиске через эту панель отображает рекламу сайтов avsystemcare.com и drivercleaner.com, содержащих подставные приложения защиты системы.

Источник: Symantec.com

[lastmylove]

Troj/Delf-EXQ

Признаки, действие и защита

При первом запуске копирует себя в домашнюю директорию пользователя (%User%): %User%\Favourites\netservice.exe.

Регистрирует себя как системный сервис "netservice" с отображаемым именем "DDMP" и типом запуска "автоматический". Информация о сервисе записывается в разделы реестра:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NET SERVICE\
HKLM\SYSTEM\CurrentControlSet\Services\netservice\

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает на компьютере "чёрный ход", предоставляя атакующему полный доступ к системе; загружает из интернета и выполняет другой вредоносный код.

Ослабляет настройки безопасности системы; отключает антивирусные процессы.

[lastmylove]

Trojan.IRC.Zapchast.NAB

Признаки, действие и защита

При запуске создаёт в системе следующие файлы в директории C:\Windows\System\:

svchost.exe (1922 КБ, переименованная модификация mIRC.exe, Win32.Partie.B)
sup.bat (22 байта)
sup.reg (139 байт)
script.ini (8 КБ)
nicks.ini (25 КБ)

Записывает ссылку на себя в раздел реестра, отвечающий за автозагрузку приложений при старте системы:


HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run\"GNP Generic Host Process" = "c:\windows\system\svchost.exe"

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Поступает в виде самораспаковывающегося архива RAR. Устанавливает на компьютере клиент IRC-чата mIRC, заходит на определённый канал семейства серверов Undernet, #unl[УДАЛЕНО], и выполняет роль IRC-бота, принимающего стандартные команды IRC (/op /deop /kick /ban /voice /nick /msg /run /exit /say /ping).

Источник: BitDefender.com

[lastmylove]

W32.Mimbot.A

Признаки, действие и защита

При первом запуске создаёт файлы:

%Windir%\PictureAlbum2007.zip (копия червя в архиве)
%System%\prodigys323.dll



Создаёт в реестре записи, обеспечивающие ему автозагрузку при каждом запуске системы.


HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{448BAC4 2-AABD-42C5-A550-826BF4AF4BB3}\InProcServer32\"(Default)" = "prodigys323.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad\"prodigy1" = "{448BAC42-AABD-42C5-A550-826BF4AF4BB3}"



Открывает "чёрный ход", подключаясь к IRC-серверу ns5.landpurchased.com:81 и ожидает команд от атакующего. В частности, может загружать и выполнять дополнительный код.

Распространяется через MSN Live Messenger, рассылая свою копию в архиве PictureAlbum2007.zip по списку контактов, обнаруженных в адресной книге.

Сопровождает файл сообщением, которое выбирает из списка случайным образом:


QuT usted piensa de este cuadro?
Conseguf a nuevo cuadro de mf la toma una mirada
algunos cuadros de la semana pasada, consideran si usted tiene gusto en ellos.
tiene usted visto este picure todavfa?
Haha, es que usted?
Debo utilizar este cuadro en msn?
QuT usted piensa en esto?
Was denken Sie an diese?
was denken Sie an dieses picure? ich glaube, daich hSlich schaue :/
sind hier eine neue Abbildung von mir
einige Abbildungen von der letzten Woche, sehen, wenn Sie sie m gen
Haha, diese sind Sie auf dieser Abbildung?
sollte ich diese Abbildung auf msn benutzen?
Was denken Sie an dieses?
Wat denkt u aan dit picure? ik vind ik lelijk kijk
Een paar beelden van vorige week, zien of houdt u hier van em nieuwe pic van me.
Hebt u dit picure nog gezien?:p
Hebt u dit picure nog gezien? :p
Haha, bent u dat op dat beeld?
Zou ik dit beeld op msn moeten gebruiken?
Wat denkt u over dit?
que pensez-vous a ce picure ? je me sens que je semble laid :/
Voici un nouveau pic de moi
Quelques images de la semaine derni
re, voient si vous les aimez
Avez-vous vu ce picure encore ?
Haha, est-vous ce sur cette image ?
Si j'emploient cette image sur le msn ?
Que pensez-vous a mon image ?
What do you think of this picure? i feel i look ugly :/
Here's a new pic of me
A few pictures from last week, see if you like em
Have you seen this picure yet?
Haha, is that you on that picture?
Should i use this picture on msn?
What do you think about this?



Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется, рассылая свои копии по списку контактов в MSN Live Messenger.

Открывает "чёрный ход", предоставляя атакующему полный доступ к захваченной системе.

Источник: Symantec.com

[lastmylove]

Backdoor.Ginwui.F

Признаки, действие и защита

Троян поступает на зараженный компьютер во вредоносном документе Microsoft PowerPoint (определяется антивирусом Symantec как Trojan.PPDropper).

При запуске документ создаёт следующие файлы:


%Temp%\ excel.exe
%Temp%\[ОРИГИНАЛЬНОЕ_ИМЯ_ФАЙЛА].pps
%System%\US2.EXE
%System%\kb20060919.log
%System%\WINFBI32.DLL



Создаёт в реестре запись:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"AppInit_DLLs" = "%System%\WINFBI32.dll"



Встраивает себя в другие процессы и использует технологию руткитов для сокрытия своих файлов, записи реестра и процесса.

Открывает на компьютере чёрный ход, подключаясь к сайту [http://][УДАЛЕНО].7766.org.

Обеспечивает атакующему следующий функционал:


Отправка информации о типах жёстких дисков
Поиск файлов на диске
Загрузка файлов на захваченный компьютер
Передача файлов с захваченного компьютера
Создание и удаление директорий
Выполнение команд
Обновление записей трояна в реестре



Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Открывает чёрный ход на зараженном компьютере; использует руткит для сокрытия своего присутствия в системе.

Источник: Symantec.com

[lastmylove]

Trojan.PPDropper

Признаки, действие и защита

Поступает на компьютер по электронной почте, в виде вложения формата PowerPoint.

Характеристики письма:
От: [УДАЛЕНО]@yahoo.com
Кому: [СПИСОК ПОЛУЧАТЕЛЕЙ]
Тема: new plan
Сообщение:

The operational plan of next week has revised and respond to us

Dear sir:
In next week ,we will [УДАЛЕНО] respond to us as quickly as possible!!! We are so sorry ! Thanks and best wishes to you! Regards

Вложение: newplan.ppt

Эксплуатирует уязвимость MS06-012, вызывающую переполнение буфера и выполнение вредоносного кода, скрытого в документе PowerPoint при его открытии.

Сохраняет на диске файл - копию Backdoor.Nithsys:

%Temp%\[СЛУЧАЙНОЕ_ИМЯ].tmp - 144,513 bytes

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Поступает во вложении в формате Power Point; сохраняет на диске троян Backdoor.Nithsys.

Источник: Symantec.com

[lastmylove]

MSNPoopy.A
Признаки, действие и защита

При первом запуске создаёт в директории Windows файлы SVCHOST.EXE и IMG1756.ZIP - архив со своей копией, рассылаемый через MSN Live Messenger.

Создаёт в реестре запись, обеспечивающую ему автозагрузку при каждом запуске системы:


HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ Microsoft Genuine Logon = svchost.exe



Рассылает себя по списку контактов: выбирает одно из сообщений, провоцирующее загрузить архив и запустить файл, и прикрепляет к нему вышеуказанный файл.


check it, i shaved my head
have u seen my new hair?
hey man, did you take this picture?
I just took this picture with my webcam, like it?
look @ my cute new puppy :-D
look @ this picture of me, when I was a kid
what the fuck, did you see this?



Техническое название: W32/MSNPoopy.A.worm.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Распространяется, рассылая себя через MSN Live Messenger.

Отправляет имя пользователя и пароль MSN Live Messenger с захваченного компьютера на веб-сайт атакующего.

Источник: PandaSecurity.com

[lastmylove]

BancoKill.A
Признаки, действие и защита

Блокирует доступ к определённому мексиканскому банку, записывая доменные имена его сайтов в файл hosts (%windows%\system32\drivers\etc\hosts) со ссылкой на локальный компьютер (127.0.0.1).

Поступает в письмах, содержащих сообщение о сотрудничестве Panda Software с мексиканским банком "Grupo ..." с целью защиты пользователей, и предлагает нажать на ссылку "Защититься сейчас". ведущую на копию трояна.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Действие
Блокирует доступ пользователей к ряду веб-сайтов, принадлежащих одному из мексиканских банков.

Троян располагается на сайте; ссылка на него содержится в электронном письме, рассказывающем на испанском языке о том, что Panda Software и определённый мексиканский банк заключили партнёрское соглашение.

Источник: PandaSecurity.com

[lastmylove]

Lop
Признаки, действие и защита

Устанавливает себя как Browser Helper Object для Microsoft Internet Explorer.

При запуске копирует себя в файлы EXE со случайными именами в директории Application Data и Program Files.

Создаёт на "Рабочем столе" ярлыки BINGO.LNK, CARD GAMES.LNK, CASINO ONLINE.LNK, INTERNET.LNK, POKER.LNK, PRINTER CARTRIDGES.LNK, TRAVEL.LNK and WEBSITE HOSTING.LNK, ведущие на разные сайты.

В директории "Избранное" создаёт ярлыки ANTIVIRUS.URL, CASINO ONLINE.URL, COMPUTERS.URL, GAMES.URL, INSTANT MESSAGING.URL, INTERNET.URL, MOVIE.URL, WEB HOSTING.URL, COMPUTER, COOL STUFF, DATING, HOME, INTERNET, ONLINE GAMING, ONLINE PHARMACY, SHOPPING GIFTS и TRAVEL.

Создаёт в реестре записи, обеспечивающие автозагрузку при каждом старте Windows:


HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ %СЛУЧАЙНОЕ_НАЗВАНИЕ% = %ApplicationData%\ %СЛУЧАЙНАЯ_ДИРЕКТОРИЯ%\ %ИМЯ_ФАЙЛА%.exe
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ %СЛУЧАЙНОЕ_НАЗВАНИЕ% = %ProgramFiles%\ %СЛУЧАЙНАЯ_ДИРЕКТОРИЯ%\ %ИМЯ_ФАЙЛА%.exe



%СЛУЧАЙНАЯ_ДИРЕКТОРИЯ% - директория со случайным именем, где расположены файлы Lop.

Создаёт также записи:


HKEY_CLASSES_ROOT\ CLSID\ {4E7ED42A-A514-B9D8-9B26-E17880DF1234}
HKEY_CLASSES_ROOT\ CLSID\ {7657043B-CFFF-857A-FBC7-1D97745AC771}
HKEY_CLASSES_ROOT\ CLSID\ {9B4F7AE3-9BCD-47B1-1134-F393E0001771}
HKEY_CLASSES_ROOT\ CLSID\ {9B7436C7-D7E9-478A-5D10-F3A8E03B5B55}
HKEY_CURRENT_USER\ Software\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_CURRENT_USER\ Software\ Classes\ CLSID\ {9B4F7AE3-9BCD-47B1-1134-F393E0001771}
HKEY_CURRENT_USER\ Software\ Classes\ CLSID\ {9B7436C7-D7E9-478A-5D10-F3A8E03B5B55}
HKEY_CURRENT_USER\ Software\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Browser Helper Objects\ {4E7ED42A-A514-B9D8-9B26-E17880DF1234}
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Browser Helper Objects\ {7657043B-CFFF-857A-FBC7-1D97745AC771}
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ %СЛУЧАЙНОЕ_НАЗВАНИЕ%
HKEY_USERS\ S-1-5-21-*-500_Classes\ CLSID\ {9B4F7AE3-9BCD-47B1-1134-F393E0001771}
HKEY_USERS\ S-1-5-21-*-500_Classes\ CLSID\ {9B7436C7-D7E9-478A-5D10-F3A8E03B5B55}



Техническое название: Obfuscated,Swizzor,, mp3search, C2 Media, Swizzo, Adware/Lop.

Существует несколько версий приложения. Ряд веб-сайтов используют его для своей рекламы.

Написан на языке Visual C++ 7.10, сжат UPX. В распакованном виде имеет длину 791.552 байта.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Добавляет панель к Internet Explorer, якобы предоставляющую поиск в интернете, но вместо этого при поиске отображает всплывающие окна с рекламой.

Создаёт иконки со ссылками на различные сайты в "Избранном" и на Рабочем столе.

Содержит ошибку, приводящую к аварийному завершению процесса explorer.exe в случае установленного WinZip при попытке пользователя получить доступ к контекстному меню.

Легко распознаётся, поскольку заменяет главную страницу на страницу "Search the Web"

Источник: PandaSecurity.com

[lastmylove]

Troj_Vundo.BBV

Признаки, действие и защита

Поступает на компьютер вместе с троянами Vundo или Virtumundo как библиотека DLL, экспортирующая функции для других вредоносных программ.

При запуске копирует себя в системную директорию Windows под именем [СЛУЧАЙНЫЕ_СИМВОЛЫ].dll.

Также записывает свои невредоносные компоненты:

ПУТЬ_К_ВРЕДОНОСНОЙ_ПРОГРАММЕ\ИМЯ_ПРОГРАММЫ_НАОБОРО Т.bak1 ПУТЬ_К_ВРЕДОНОСНОЙ_ПРОГРАММЕ\ИМЯ_ПРОГРАММЫ_НАОБОРО Т.ini

Обеспечивает себе автозапуск при каждом старте системы:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\[ИМЯ_ТРОЯНА_БЕЗ_РАСШИРЕНИЯ]
DllName = "%System%\{malware filename}.dll"



Регистрирует себя как Вспомогательный объект браузера (Browser Helper Object), что позволяет ему автоматически запускаться при старте браузера (Microsoft Internet Explorer):


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\Browser Helper Objects\{СЛУЧАЙНЫЙ_CLSID}



Создаёт следующий ключ в реестре:


HKEY_CLASSES_ROOT\CLSID\{Random CLSID}\InprocServer32
(Default) = "%System%\[ИМЯ_ТРОЯНА].dll"



Может внедряться в процессы WINLOGON.EXE и EXPLORER.EXE для предотвращения своего удаления даже в Безопасном режиме (Safe Mode).

Отслеживает работу пользователя в браузере, периодически отображает всплывающие окна с рекламой в зависимости от тематики посещаемых сайтов.

Предоставляет другим вредоносным программам функции:


Создание процесса
Защита процесса от обнаружения и удаления
Вход или выход из системы
Создать нестабильность в системе



Загружает вредоносный код из интернета с URL http://???.???.235.110.

Подключается к сайтам (начало закрыто Trend Micro):


???aena.com
???tivirussecuritypro.com
???ivecleaner.com
???rorprotector.com
???rorsafe.com
???opguard.com
???sprotect.com
???stemdoctor.com
???rusguard.com
???nantispy.com
???nantispyware.com
???nantivirus.com
???nantiviruspro.com
???ndrivecleaner.com
???nfirewall.com
???nfixer.com
???npopupguard.com



Вышеперечисленные ссылки загружают фальшивые антишпионские программы.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Поступает на компьютер вместе с другими версиями трояна Vundo или Virtumundo, либо в качестве компонента другого вредоносного ПО.

Представляет собой DLL-файл, экспортирующий функции для других вредоносных программ; регистрируется как Вспомогательный объект браузера (Browser Helper Object) для Microsoft Internet Explorer; запускается вместе с браузером.

Отображает рекламу во всплывающих окнах во время веб-серфинга.

Загружает из интернета и выполняет дополнительный вредоносный код.

Источник: TrendMicro.com

[lastmylove]

Trojan.Bankpatch

Признаки, действие и защита

При запуске создаёт файлы:


%Temp%\my.log - определяется как Trojan.Bankpatch
%System%\ldrcrpt.dat - файл, содержащий зашифрованные данные
%System%\idname.si - содержит случайное число, созданное трояном как идентификатор захваченной системы



Создаёт в реестре следующую запись:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Internet Settings\"w8" = "[USA_[12_ШЕСТНАДЦАТЕРИЧНЫХ_ЦИФР]"


Запускает my.log - программу, получающую набор привилегий из процесса WINLOGON.EXE.


Заражает файлы:


%System%\kernel32.dll
%System%\wininet.dll
%System%\dllcache\kernel32.dll
%System%\dllcache\wininet.dll



(Примечание: длина kernel32.dll увеличивается на 4 КБ, wininet.dll - на 12 КБ. Троян увеличивает последнюю секцию этих файлов и вставляет в неё специальный исполняемый код.)

В процессе заражения создаёт файлы:


%System%\oldkrn.tmp - резервная копия kernel32.dll
%System%\oldwin.tmp - резервная копия wininet.dll
%System%\newkrn.tmp - инфицированная копия kernel32
%System%\newwin.tmp - инфицированная копия kernel32



Для завершения процедуры заражения перезагружает компьютер.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Троян для Windows. Крадёт конфиденциальную информацию; модифицирует системные DLL.

Источник: Symantec.com

[lastmylove]

Troj/Mailbot-CG
Признаки, действие и защита

При старте копирует себя в корневую директорию под именем fwdrv.sys; регистрирует этот файл как системный сервис с автоматическим запуском.

Создаёт запись о сервисе в разделе реестра:
HKLM\SYSTEM\CurrentControlSet\Services\fwdrv.sys

Псевдонимы: SpamTool.Win32.Agent.u, Spam-Xarvester.trojan, Spammer.Win32/Agent.U.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Найти и остановить сервис, созданный червём.
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Открывает "чёрный ход" на захваченном компьютере. Рассылает спам по запросу атакующего. Работает как системный сервис.

[lastmylove]

Infostealer.Monstres

Признаки, действие и защита

Для проверки наличия своей копии в памяти использует мутекс "__SYSTEM__91C38905__".

Проверяет наличие в системе файла OUTPOST.EXE (Outpost Firewall).

Копирует себя в файл %System%\ntos.exe, добавляя случайное количество байт в конец.

Создаёт директорию %System%\wsnpoem с атрибутами системная и скрытая. В этой директории создаёт два файла - audio.dll для хранения собранной информации и video.dll для хранения собственных настроек.

Создаёт в реестре запись:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"pathx" = [ОРИГИНАЛЬНОЕ_ИМЯ_ТРОЯНА]



Обеспечивает себе автозапуск при каждом старте системы. Для этого модифицирует следующую запись реестра:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\"Userinit" = "%System%\userinit.exe, %System%\ntos.exe"



Встраивает код в процессы WINLOGON.EXE и SVCHOST.EXE.

Пытается создать потоки (threads) во всех процессах, кроме CSRSS.EXE.

Для синхронизации потоков использует мутексы:


__SYSTEM__23D80F10__
__SYSTEM__45A2F601__
__SYSTEM__7F4523E5__
__SYSTEM__91C38905__
__SYSTEM__64AD0625__



Для обеспечения устойчивости блокирует удаление и доступ к своим файлам и периодически перезаписывает все созданные и модифицированные записи реестра в случае их удаления.

Создаёт в реестре маркер, обозначающий, что компьютер уже захвачен:


HKEY_LOCAL_MACHINE\Software\microsoft\windows nt\currentversion\network\"UID" = "[ИМЯ_КОМПЬЮТЕРА]_[УНИКАЛЬНЫЙ_ID]"



Перехватывает API NTDLL.DLL при помощи кода, внедрённого в процессы. Список API:


NtCreateThread
LdrLoadDll
LdrGetProcedureAddress



Перехватывает API библиотеки работы с интернетом WININET.DLL для контроля над работой в Сети и кражи информации. Перехват осуществляется кодом, внедрённым в процессы. Список API:


HttpSendRequestW
HttpSendRequestA
HttpSendRequestExW
HttpSendRequestExA
InternetReadFile
InternetReadFileExW
InternetReadFileExA
InternetQueryDataAvailable
InternetCloseHandle



Также перехватывает API библиотек WS2_32.DLL и WSOCK32.DLL для тех же целей, что и WININET.DLL. Список API (отправка информации по TCP/IP и UDP, а также закрытие сокета):


send
sendto
closesocket
WSASend
WSASendTo



При посещении сайта Monster.com может перехватывать трафик, перенаправлять трафик и собирать конфиденциальную информацию, отправленную на сайт (имя, адрес электронной почты, домашний адрес, номер домашнего телефона.

Пытается переслать данные на хост 195.189.246.233.

Связывается с хостом http://195.189.246.235/spmv[УДАЛЕНО] для получения дополнительных настроек и данных для рассылки спама.

Рассылает спам по запросу; пытается использовать SMTP-сервер smtp.bizmail.yahoo.com.

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)
Действие
Крадёт конфиденциальную информацию с захваченного компьютера, включая реквизиты, передаваемые пользователем на сайт Monsters.com. Может рассылать спам, получая инструкции с удалённого сервера.

Источник: Symantec.com

[lastmylove]

Trojan-Downloader:W32/Agent.BRK

Признаки, действие и защита

При запуске записывает драйвер-руткит %sysdir%\drivers\runtime.sys, который определяется как Rootkit.Win32.Agent.dw.

Заменяет своим драйвером файл драйвера Microsoft Windows IPv6 Windows Firewall - %sysdir%\drivers\ip6fw.sys. Файл определяется как Rootkit.Win32.Agent.dp.

Устанавливает драйверы как сервисы и запускает их.

Запускает в скрытом режиме процесс Microsoft Internet Explorer и модифицирует его код.

Пытается подключиться к серверам с адресами 66.246.72.173, 67.18.114.98 и 208.66.194.241.

Новые варианты трояна подключаются к другим серверам: 64.233.183.27, 66.111.4.74, 194.67.23.20, 209.85.147.27, 216.157.145.27, 216.195.61.87.

Пытается загрузить с этих серверов дополнительный компонент, используя HTTP GET-запрос. В качестве параметров запроса передаёт некоторую информацию о зараженном компьютере.

Загруженный файл сохраняется как %sysdir%\[0..9]_exception.nls (определяется как Rootkit.Win32.Agent.ey). Он выполняет функции приложения для рассылки спама.

Для проверки своего присутствия в памяти троян использует мутекс "k4j.32H_f7z_Z6e.g8G0".

Псевдонимы: Agent.exj, Win32/TrojanDownloader.Agent.NPW, Trojan-Downloader:W32/Agent.EXJ, Trojan-Downloader.Win32.Agent.brk, Trojan-Downloader:W32/Agent.BOD, Agent.brk

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные трояном; восстановить изменённые настройки (использовать regedit.exe)
Найти и остановить сервисы, созданные трояном.
Действие
Загружает из интернета и выполняет дополнительный вредоносный код. Использует технологию руткитов для сокрытия своего присутствия в системе. Загружает на компьютер приложение для рассылки спама.

Источник: F-Secure.com

[lastmylove]

W32/Looked-DM

Признаки, действие и защита

При первом запуске создаёт следующие файлы в директории Windows (%Windows%):


Logo1_.exe
RichDll.dll
\uninstall\\rundl132.exe



Может создавать файлы "_desktop.ini" в различных директориях зараженного компьютера. Это безопасные текстовые файлы, которые могут быть удалены без вреда для системы.

Записывает ссылку на себя в раздел автозагрузки реестра:


HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load = "%Windows%\uninstall\rundl132.exe"



Создаёт раздел реестра HKLM\SOFTWARE\Soft\DownloadWWW\

Защита
Отключить функцию "Восстановление системы" (для Windows ME и XP)
Полностью проверить систему антивирусом с обновлённой базой сигнатур
Удалить все ключи реестра, созданные вредоносной программой (использовать regedit.exe)
Действие
Способ заражения: запись тела вируса в начало исполняемого файла, дописывание оригинального файла в конец.

Распространяется, заражая файлы в директориях общего доступа файлообменных сетей.

Открывает "чёрный ход" на зараженном компьютере.
Загружает из интернета и выполняет другой вредоносный код.