Вредоносное ПО (Обзор)

[lastmylove]

VBS.Solow.F

Признаки

Признаки

При запуске копирует себя как %Windir%\bhotiok.dll.vbs

(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"bhotiok" = "%Windir%\bhotiok.dll.vbs"


Через реестр заменяет заголовки окон Internet Explorer и Notepad ("Блокнот")

* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "Careful [удалено] is already jogging . . . saon na lang?"
* HKEY_CURRENT_USER\Software\Microsoft\Notepad\Main\ "Window Title" = "Careful [удалено] is already jogging . . . saon na lang?"


Может отображать сообщение: [удалено]'s best chicharon

Распространяется копированием себя в корень всех дисков, которым присвоена буква, под именем bhotiok.dll.vbs.

Там же (кроме диска A создает файл autorun.inf, обеспечивающий автозапуск исполняемого файла при подключении диска к системе.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows, написанный на языке Visual Basic Script. Распространяется копированием на съемные диски.

источник: Symantec.com

[lastmylove]

W32.Wowinzi.A

Признаки

Признаки

Может попасть на компьютер через вредоносные веб-страницы.

При запуске создает следующие файлы:

* %System%\windows.txt
* %Windir%\Tasks\0x01xx8p.exe


(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Также создает следующме файлы - копии spoolsv.exe:

* %Windir%\Tasks\SysFile.brk
* %Windir%\Tasks\spoolsv.ext


Модифицирует следующие файлы:

* %System%\dllcache\spoolsv.exe
* %System%\spoolsv.exe


Возможна установка в систему и запуск следующих компонентов:

* %Temp%\dat[случайное_16ричное_число].tmp (Hacktool.Rootkit)
* %Temp%\dat[случайное_16ричное_число].tmp (Infostealer.Gampass)


(Примечание: %Temp% - директория для временных файлов)

Копирует себя на все диски, которым присвоена буква, в корень, под именем MSDOS.bat. Там же создает файл autorun.inf, обеспечивающий автозапуск MSDOS.bat при подключении диска к системе.

Удаляет из системы файл %System%\verclsid.exe

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Shell" = "%System%\Rundll32.exe %System%\shell32.dll Control_RunDLL %Temp%\dat[случайное_16ричное_число].tmp"


СОздает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Data\Config\"http://winzipices.cn/1.exe" = "http://winzipices.cn/1.exe"
* HKEY_CURRENT_USER\_reg\"Shell" = "%System%\Rundll32.exe %System%\shell32.dll Control_RunDLL %Temp%\dat[случайное_4значное_16ричное_число].tmp"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"RxMru" = [двоичные_данные]
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"mrulist" =" %Temp%\dat[случайное_4значное_16ричное_число].tmp"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Desktop\"sysfile" = "%System%\1.exe"
* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E25C29A B-12B9-4523-A53C-324B5FBA648C}\InProcServer32\"(Default Value)" = "%Temp%\dat[случайное_16ричное_число].tmp"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\ShellExecuteHooks\"{E25C29AB-12B9-4523-A53C-324B5FBA648C}" = "0"


Запрашивает настройки с сайта [http://]winzipices.cn/confi[удалено]

В зависимости от содержания файла настроек, может выполнить следующие действия:

* Загрузить в систему и выполнить файл
* Собрать из файлов адреса электронной почты
* Заразить исполняемые файлы
* Скопировать себя на все диски
* Скопировать себя на доступные сетевые ресурсы
* Встроить вредоносный код в веб-страницы на компьютере


Затем загружает и выполняет свою копию с URL [http://]winzipices.cn/[удалено]

Собирает конфиденциальную информацию; данные отправляет на URL [http://]winzipices.cn/tong/post[удалено]

Открывает в системе "черный ход", который пытается подключиться к серверу 61.134.37.15:1800/TCP.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь-троян для платформы Windows. Распространяется копированием себя на все диски, которым присвоена буква. Модифицирует исполняемые файлы. Загружает в систему дополнительный вредоносный код. Похищает конфиденциальную информацию.

источник: Symantec.com

[lastmylove]

JS.Faizal

Признаки

Признаки

При запуске копирует себя как %System%\faizal.js

(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"faizal" = "wscript.exe C:\WINDOWS\system32\faizal.js"


Также создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\WinLogon\"LegalNoticeCaption" = "FAIZAL"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\WinLogon\"LegalNoticetext" = "You have been infected by FAIZAL virus"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\Software\Microsoft\Win dows\CurrentVersion\Policies\Explorer\NoClose\Soft ware\Microsoft\Windows\CurrentVersion\Policies\Exp lorer\NoRun\Software\Microsoft\Windows\CurrentVers ion\Policies\Explorer\NoDrives\"ShowSuperHidden" = "0"
* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "faizal"


Распространяется копированием в корень всех дисков, которым присвоена буква. На диски копируются файлы faizal.js и AutoRun.inf. Последний обеспечивает червю автозапуск при подключении диска к системе.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Написан на языке JavaScript. Распространяется копированием на все диски, которым присвоена буква.

источник: Symantec.com

[lastmylove]

W32.Zapinit

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\ntpl.bin
* %System%\sbmf.ln


(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

Также копирует файлы, принадлежащие Backdoor.Zapinit:

* %System%\cc.ln
* %System%\lght.ln
* %System%\msnf.ln
* %System%\nvrsma.dll
* %System%\pryx.ln


Также создает файл журнала %Windir%\sys.log

(Примечание: %Windir% - директория, в которую установлена Windows, обычно C:\Windows)

Модифицирует файлы:

* %System%\dllcache\user32.dll
* %System%\user32.dll


В результате Windows при старте обращается не к стандартному разделу реестра, отвечающему за автозапуск, а к установленному червем (см.ниже).

Обеспечивает себе автозагрузку при каждом запуске Windows. Для этого создает в реестре следующую запись:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"pjpInit_Dlls" = "nvrsma"

Оригинальный файл user32.dll копируется под случайным именем в %System%.

Создает в реестре следующие записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"st" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"mid" = "[HEXADECIMAL CHARACTERS]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"dwn" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"ccnt" = "1"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"nhr" = "1"


* HKEY_LOCAL_MACHINE\SOFTWARE\1
* HKEY_LOCAL_MACHINE\SOFTWARE\6
* HKEY_LOCAL_MACHINE\SOFTWARE\7
* HKEY_LOCAL_MACHINE\SOFTWARE\8
* HKEY_LOCAL_MACHINE\SOFTWARE\9


Пытается подключиться к следующим URL:

* [http://]66.36.241.45/sdb/gate/[удалено]
* [http://]66.36.241.45/sdb/gate/data[удалено]


Распространяется копированием на совместно используемые сетевые ресурсы, подключаясь к учетной записи "Administrator".

В случае защищенности паролем, подбирает его по словарю:

* !@#

* 00
* 1
* 11
* 1212
* 123
* 123456
* 13
* 1313
* 666
* 777
* adm
* admin
* administrator
* asa
* pass
* password
* q
* qaz
* qazxsw
* qqq
* qwerty
* test
* zaq
* zaqwsx
* zzz


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием на совместно используемые сетевые ресурсы (network shares), в частности, подбирая простые пароли. Устанавливает в системе копию Backdoor.Zapinit.

источник: Symantec.com

[lastmylove]

W32.Mariofev.A

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\[случайное имя]
* %System%\bmf.cs
* %System%\ccs.so
* %System%\gh.l
* %System%\mn.n
* %System%\ntpl.bin
* %System%\nvrsma.dll
* %System%\yl.po


Также может создавать следующие файлы:

* %System%\acl.exe
* %System%\MarioForever.exe
* %текущий_диск%:\MarioForever.exe


(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

Модифицирует следующие файлы:

* %System%\dllcache\user32.dll
* %System%\user32.dll


Создает следующие записи в реестре:

* HKEY_LOCAL_MACHINE\SOFTWARE\[число]\"[34значное_16ричное_число]" = "[случайные_данные]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"ztpInit_Dlls" = "nvrsma"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"ccnt" = "[количество_попыток_заражения]"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"mid" = "[случайные_16ричные_данные]"


Может удалять в реестре записи, принадлежащие антивирусным, защитным и некоторым другим приложениям. Определяет их по следующим строкам:

* *\shellex\ContextMenuHandlers\NOD32 Context Menu Shell Extension
* AllFilesystemObjects\shellex\ContextMenuHandlers\S pySweeper
* ALWIL Software\Avast
* Arovax AntiSpyware
* Chilkat Software, Inc.
* ComputerAssociates\eTrustPestPatrol
* Doctor Web, Ltd.
* FRISK Software International
* Grisoft\AVGAntiSpyware
* KasperskyLab
* McAfee\McAfee AntiSpyware
* McAfee\VirusScan
* Panda Software
* PepiMK Software\SpybotSnD
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\Ad-aware 6 Personal
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\Ad-Aware SE Personal
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\AntiVir PersonalEdition Classic
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\ClamAV
* SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstal l\SpywareBlaster_is1
* SOFTWIN\BitDefender Desktop\Maintenance\Install
* Spyware Begone!
* Symantec\Symantec AntiVirus
* SYSTEM\ControlSet001\Services\avgntflt
* SYSTEM\CurrentControlSet\Services\WinDefend
* Ukranian Antivirus center
* Vba32
* VMware, Inc.
* VMware, Inc.\VMware Tools


Создает сервис с автоматическим типом запуска, именем SCNa, отображаемым именем "SCNa Service".

Регистрирует сервис через реестр, создавая подключ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\SCNa.

Может подключаться к URL для отчета о захвате системы и возможном обновлении себя:

* [http://]66.36.241.45/sdb/gate/[удалено]
* [http://]66.36.241.45/sdb/gate/data[удалено]


Распространяется копированием на совместно используемые сетевые ресурсы.

В случае защищенности ресурса паролем, пытается подобрать его по словарю:

* !@#
* 1212
* 123
* 123456
* 1313
* 666
* 777
* adm
* admin
* administrator
* asa
* pass
* password
* qaz
* qazxsw
* qqq
* qwerty
* test
* zaq
* zaqwsx
* zzz


Пытается копировать себя в корень всех дисков, которым присвоена буква, под именем acl.exe.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием себя на совместно используемые сетевые ресурсы (network shares) и диски, которым присвоена буква.

источник: Symantec.com

[Dimonssss]

Пользователи сайта "ВКонтакте.Ру" стали жертвами компьютерного вируса
16 мая 2008 | 21:21
Подробности
По материалам: РИА "Новости"

Пользователи популярной социальной сети "ВКонтакте.Ру" стали жертвами серьезной вирусной эпидемии, говорится в сообщении компании "Доктор Веб", служба вирусного мониторинга которой зарегистрировала вредоносную программу.

В сообщении уточняется, что причиной эпидемии стал опасный сетевой "червь", который рассылает с инфицированных машин другим пользователям сети "ВКонтакте.Ру" ссылку на картинку в формате jpeg, ведущую на ресурс злоумышленника в интернете (http://******.misecure.com/deti.jpg). Реально же сервер передает по этой ссылке исполняемый файл deti.scr, который и является непосредственно сетевым "червем".

Будучи запущенным на компьютере жертвы, червь сохраняет на диске саму картинку, которая и вызвала любопытство неосторожного пользователя, и запускает штатное приложение, используемое в системе для просмотра файлов jpeg. Таким образом, пользователь видит то, что ожидал увидеть, не подозревая, что стал жертвой злоумышленника.

Между тем, скопировав себя в папку на жестком диске компьютера жертвы под именем svc.exe, "червь" устанавливается в системе в качестве сервиса Durov VKontakte Service и ищет пароль к доступу к "ВКонтакте.Ру". Если пароль находится, то "червь" получает доступ ко всем контактам своей жертвы в данной сети и рассылает по этим контактам все ту же ссылку.

"Червь" несет в себе опасную деструктивную функцию. 25 числа каждого месяца в 10 часов утра на экране компьютера будет выводиться следующее сообщение (орфография сохранена): "Павел Дуров Работая с "ВКонтакте.РУ" Вы ни разу не повышали свой рейтинг и поэтому мы не получили от Вас прибыли. За это Ваш компьютер будет уничтожен! Если обратитесь в милицию, то сильно пожалеете об этом!". Одновременно с этим начнется удаление с диска C всех файлов.

"Если пользователь будет достаточно долго вчитываться в данный текст и предастся размышлениям относительно его содержания, он рискует потерять не только все системные файлы, но и свои файлы данных - документы, фотографии, электронные письма и многое другое", - предостерегают эксперты "Доктор Веб".

"Поэтому самое лучшее действие при появлении такого сообщения - немедленное выключение питания компьютера, что позволит, по крайней мере, сохранить если не все данные, то хотя бы их часть", - советуют они.

В сообщении также отмечается, что специалисты компании "Доктор Веб" предупредили об опасности сайт "ВКонтакте.Ру", в результате чего распространение червя практически прекратилось. Тем не менее, специалисты компании рекомендуют пользователей сайта, которые посмотрели картинку на названном выше ресурсе, проверить свой компьютер на вирусы.

[lastmylove]

W32.Tufik.E

Признаки

Признаки

При запуске создает следующие файлы:

* %System%\mscrss.exe
* %System%\mscrss.dll
* %System%\[случайные буквы].tmp
* %Windir%\Temp\[случайные цифры].tmp
* %Windir%\Temp\[случайные цифры].tmp_TMP.exe
* %Temp%\[случайные цифры].tmp
* %Temp%\[случайные цифры].tmp_TMP.exe


(Примечание: %System% - системная директория Windows. Например, для NT..Vista это обычно C:\Windows\System32)

Создает сервис "Windows Workstation".

Создает в реестре следующие записи:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Ext\Stats\{C1498DA0-135E-46EA-B01B-86042A31ED82}
* HKEY_CURRENT_USER\TypeLib\{C1498DB2-135E-46EA-B01B-86042A31ED82}
* HKEY_CURRENT_USER\Interface\{C1498DBF-135E-46EA-B01B-86042A31ED82} HKEY_CURRENT_USER\IEFalgObj.IEFalgObj
* HKEY_CURRENT_USER\IEFalgObj.IEFalgObj.1 HKCR\CLSID\{C1498DA0-135E-46ea-B01B-86042A31ED82
* HKEY_USERS\.default\Software\Microsoft\Windows\Cur rentVersion\Ext\Stats\{C1498DA0-135E-46EA-B01B-86042A31ED82}


Ищет на всех дисках файлы:

* .cgi
* .php
* .jsp
* .asp
* .html
* .htm


Встраивает в них рамку:

Копирует себя на все диски:

* \Config.Msi\mscrss.exe
* \Config.Msi\[имя_первоначально_запущенного_файла]
* \AutoRun.inf


Заражает все .exe - файлы на всех дисках.

Пытается загрузить файл с URL: [http://]ieopen.yhgames.com/iedown/down/upbh[удалено]
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Вирус-червь для платформы Windows. Заражает исполняемые файлы (.exe), копирует себя на все диски, которым присвоена буква, а также внедряет в html-файлы код обращения к вредоносному сайту.

источник: Symantec.com

[lastmylove]

DisaCKT.B

Признаки

Признаки

При старте создает следующие файлы:

* Microsoft Office Word 2003.exe - в директорию меню "Пуск"
* MY CV.EXE - в корне диска C:
* MY CV.EXE - в директории, куда установлена Windows (далее %windir%)


Копирует себя на все диски, которым присвоена буква.

Создает в реестре запись, обеспечивающую автозапуск при каждом старте Windows:

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ Mswinword = %windir%\My CV.exe


Отключает следующие функции системы:

* Редактор реестра
* Диспетчер задач
* Пункт "Поиск" в меню "Пуск"
* Пункт "Выполнить" в меню "Пуск"
* Пункт "Свойства папки" в "Проводнике"


Для этого устанавливает в реестре следующие значения, соответственно:

* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableRegistryTools = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System \ DisableTaskMgr = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFind = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoRun = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer \ NoFolderOptions = 1


Обеспечивает себе автозапуск вместе с msconfig:

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ App Paths\ MSCONFIG.EXE \ Path = %windir%\My CV.exe


Запрещает запуск Редактора реестра, msconfig, Диспетчера задач, Microsoft Management Console, Group Policy Editor, командной консоли (cmd.exe). Для этого вносит в Реестр следующие записи:

* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 1 = Regedit.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 2 = MSConfig.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 3 = taskmgr.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 4 = MMC.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 5 = gpedit.msc
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\ DisallowRun \ 6 = Cmd.exe


Написан на языке Visual Basic 6.0.

Техническое название от Panda Security - W32/DisaCKT.B.worm.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием себя на все диски, имеет встроенную иконку документа Word.

Легко распознается визуально: кнопка "ПУСК" ("START") меню Windows заменяется на "NUM", в меню "ПУСК" появляется пункт "Microsoft Office Word 2003.exe".

Отключает ряд функций интерфейса Windows для усложнения своего обнаружения.

источник: PandaSecurity.com

[Сияющий]

Вирус подмены страниц

В последнее время появилось вредоносное программное обеспечение нового типа – программы, созданные для искажения страниц в браузере пользователя.
В строгом понимании термина «вирус» эти программы вирусами не являются, однако механизм их работы очень похож на деятельность вирусов, поэтому условимся называть такое ПО «вирусом подмены страниц». При обращении пользователя, компьютер которого заражен таким вирусом, к поисковой системе вирус изменяет один из результатов поиска. Таким образом, пользователь переходит не на сайт, найденный поисковой системой, а на какой-то другой.
Эта проблема существует для всех популярных поисковиков – для Яндекса, Google, Рамблера, MSN (Live). Кроме того, вирус может подменять не только страницы с результатами поиска, а вообще любые сайты.

Способ заражения

Вирус подмены страниц может попасть на компьютер вместе с какой-нибудь программой, загруженной из интернета. Например, вместе с бесплатным ускорителем закачки файлов BitAccelerator, который предоставляется файлообменным сервисом Letitbit.net. Вместе с этой программой пользователь скачивает скрытую библиотеку. Эта библиотека остается на компьютере пользователя и при удалении BitAccelerator.

Способы поведения вируса

* Вирус подменяет html-код страницы с результатами поиска, подставляя вместо одного из результатов ссылку и описание другого сайта. Дизайн и общий вид подмененной позиции похожи на обычные результаты поиска, но сам сайт к заданному запросу отношения не имеет. Например, по запросу [самолет] выводится порносайт, или по запросу [Яндекс] – сайт другой компании. Если задать тот же самый запрос еще раз, нерелевантный сайт исчезнет из результатов поиска.
* Другой вариант появился позднее, возможно, вследствие того, что пользователи меньше кликали по нерелевантным ответам. По запросу пользователя страница выдачи не изменяется, но при переходе по одному из первых результатов поиска вирус переадресовывает пользователя на другой сайт.

Вирус подмены страниц используется для воровства и продажи трафика – с его помощью можно получить, по самым скромным оценкам, несколько сот тысяч переходов в день. Переходы пользователей продаются рекламодателям как контекстная реклама.

Схема работы мошенников

* Рекламодатель заказывает рекламу сайта по определенным ключевым словам. Эти слова передаются в программу, работающую на удаленном сервере злоумышленников.
* Когда пользователь заходит с зараженного компьютера на сайт какой-нибудь поисковой системы и вводит запрос в строке поиска, вирус активизируется и передает запрос на сервер мошенников. Если этот запрос содержится в программе, в ответ приходит адрес сайта, который подставляется в выдачу поисковика.
* Пользователь переходит по ложной ссылке и уходит, решив, что поисковая система дала ему нерелевантный ответ. При этом вирус модифицирует HTTP-запрос таким образом, что в логи посещенного сайта записывается переход с рекламной сети мошенников – поэтому рекламодатель заплатит за этот переход.

В результате проигрывают все – кроме авторов вируса, конечно. Пользователь не находит нужную информацию. Рекламодатель платит за нецелевой трафик. Поисковая система теряет репутацию – обнаружив последствия работы вируса подмены, некоторые пользователи обвиняют поисковики в продаже мест на первых страницах выдачи.

До недавнего времени антивирусные компании классифицировали вирусы подмены страниц просто как рекламный софт – не особо полезный, но вроде бы и не вредный. Сейчас большинство производителей антивирусов перевели вирусы подмены страниц в класс вредоносного и опасного ПО. Антивирусы компаний Dr.Web, «Лаборатория Касперского», ESET (NOD32), Panda Security обнаруживают и автоматически удаляют все известные версии вируса подмены страниц.

Источник

[lastmylove]

W32.Stayt.A

Признаки

При запуске создает свою копию:

* %UserProfile%\Local Settings\Temp\[случайные_символы].tmp


(Примечание: %UserProfile% - директория, в которой хранятся настройки и временные файлы приложений и системы для текущего пользователя).

Загружает исполняемый файл с URL: [http://]ip.windowsupdeta.cn/e/ip.[???]

Пытается завершить следующие процессы:

* kav.exe
* kv.exe
* avp.exe
* rav.exe
* KVSrvXP.exe
* KVSrvXP_1.exe
* MCshield.exe
* 360Safe.exe


Заражает все исполняемые файлы на всех доступных дисках.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур

Действие

Вирус для платформы Windows NT. Заражает исполняемые файлы, обнаруженные на дисках. Пытается загрузить исполняемый файл из интернета.

источник: Symantec.com

[lastmylove]

W32.Xpaj

Признаки

При запуске создает несколько временных файлов:

* %UserProfile%\Local Settings\Temp\[случайное_имя].tmp


(Примечание: %UserProfile% - директория системных настроек и файлов приложений для текущего пользователя)

Далее, заражает случайным образом на всех дисках файлы .exe, .dll и .sys, не защищенные системой Windows File Protection.

(Примечание: файлы .sys после заражения могут работать нестабильно.)

Создает свою копию ([случайное имя].exe) в корне всех дисков; там же создает файл автозапуска autorun.inf, содержащий в параметре "open" имя .exe.

Собирает пароли, сохраненные в кэшах, имя пользователя и имя компьютера, и отправляет их по одному из следующих URL

* [http://]salviaforfree.com/up.[???]
* [http://]salviaforfree.com/up.[???]
* [http://]salviaforfree.com/up.[???]
* [http://]neverforgetthis.info/log[???]


Также может связываться с сайтами:

* www.gracefullsystemupdate.com
* www.ms-word.net


Вирус-червь также пытается загружать и выполнять другие исполняемые файлы.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур

Действие

Вирус-червь для платформы Windows. Распространяется копированием на все диски и заражением файлов .exe, .dll и .sys. Инфицированные файлы увеличиваются в размерах на 90.112-98.304 байта. Собирает пароли, сохраненные в кэше, и отправляет атакующему вместе с именем компьютера и пользователя.

источник: Symantec.com

[lastmylove]

Spyware.NokKernel

Признаки

При старте программа создает следующие файлы:

* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Help.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\NokNet.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Uninstall.lnk (created in non-hidden installation)
* %System%\Pf[RANDOM NUMBER].dat
* %System%\a_$$$_.tmp
* %Windir%\Temp\JET[случайное имя].tmp
* %Windir%\NokNet.EXE
* %Windir%\NokNet.HLP
* %Windir%\UNSTALLE.EXE
* %Windir%\UNSTTALW.EXE
* %UserProfile%\Local Settings\Temp\$$$1.TMP
* %UserProfile%\Local Settings\Temp\$$$2.TMP
* %System%\DRIVERS\w32ins.sys
* %System%\Nok_install.exe


(%SystemDrive% - системный диск, %System% - системная директория Windows, %Windir% - директория, в которую установлена Windows, %UserProfile% - директория системных настроек, настроек приложений и временных файлов для текущего пользователя)

Через реестр обеспечивает автозагрузку при каждом старте системы:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce\"NokKernel install" = "%System%\Nok_install.exe"


Также создает следующие записи в реестре:

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\"NextInstance" = "1"


Для двух своих сервисов создает следующие подключи в реестре:

* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\w32ins
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\fsram


Собранная информация сохраняется в файлах со случайными именами в директориях:

* %SystemDrive%\System Volume Information\{2933BF90-7B36-11d2}
* %SystemDrive%\Nok-Kernel_data_center


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Шпионская программа для платформы Windows. Собирает данные о нажатых клавишах, открытых файлах, посещенных URL, полученных и отправленных электронных письмах, и скриншоты, сделанные через определенные промежутки времени.

Название приложения: NokNet Workstation Monitor. Разработчик: Spin Networks, версия 1.2.090.

источник: Symantec.com

[lastmylove]

Spyware.NokKernel

Признаки

При старте программа создает следующие файлы:

* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Help.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\NokNet.lnk (created in non-hidden installation)
* %SystemDrive%\Documents and Settings\All Users\Start Menu\Programs\NokNet System\Uninstall.lnk (created in non-hidden installation)
* %System%\Pf[RANDOM NUMBER].dat
* %System%\a_$$$_.tmp
* %Windir%\Temp\JET[случайное имя].tmp
* %Windir%\NokNet.EXE
* %Windir%\NokNet.HLP
* %Windir%\UNSTALLE.EXE
* %Windir%\UNSTTALW.EXE
* %UserProfile%\Local Settings\Temp\$$$1.TMP
* %UserProfile%\Local Settings\Temp\$$$2.TMP
* %System%\DRIVERS\w32ins.sys
* %System%\Nok_install.exe


(%SystemDrive% - системный диск, %System% - системная директория Windows, %Windir% - директория, в которую установлена Windows, %UserProfile% - директория системных настроек, настроек приложений и временных файлов для текущего пользователя)

Через реестр обеспечивает автозагрузку при каждом старте системы:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce\"NokKernel install" = "%System%\Nok_install.exe"


Также создает следующие записи в реестре:

* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\ LEGACY_W32INS\"NextInstance" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"*NewlyCreated*" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\Control\"ActiveService" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Service" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Legacy" = "1"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ConfigFlags" = "0"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"Class" = "LegacyDriver"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"ClassGUID" = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\0000\"DeviceDesc" = "w32ins"
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_W32INS\"NextInstance" = "1"


Для двух своих сервисов создает следующие подключи в реестре:

* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\w32ins
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\fsram


Собранная информация сохраняется в файлах со случайными именами в директориях:

* %SystemDrive%\System Volume Information\{2933BF90-7B36-11d2}
* %SystemDrive%\Nok-Kernel_data_center


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Шпионская программа для платформы Windows. Собирает данные о нажатых клавишах, открытых файлах, посещенных URL, полученных и отправленных электронных письмах, и скриншоты, сделанные через определенные промежутки времени.

Название приложения: NokNet Workstation Monitor. Разработчик: Spin Networks, версия 1.2.090.

источник: Symantec.com

[lastmylove]

Adware.Peppi

Признаки

Приложение не устанавливается самостоятельно; пользователь должен установить его сам.

При запуске приложение создает следующие файлы:

* %UserProfile%\Start Menu\Programs\peppi_vorlagen\peppi (Vorlagen-Wizzard).lnk
* C:\Program Files\peppi_vorlagen\license.txt
* C:\Program Files\peppi_vorlagen\lisys.exe
* C:\Program Files\peppi_vorlagen\peppi.exe
* C:\Program Files\peppi_vorlagen\uninstall.bat
* %System%\system\host.exe


(%UserProfile% - директория системных настроек и файлов текущего пользователя;
%System% - системная директория Windows)

Через реестр обеспечивает себе автозагрузку при старте Windows:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"vhost" = "%System%\host.exe"


Также создает в реестре записи:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\peppi (Vorlagen-Wizzard)\"DisplayName" = "peppi (Vorlagen-Wizzard)"
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\peppi (Vorlagen-Wizzard)\"UninstallString" = "C:\Program Files\peppi_vorlagen\lisys.exe"
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\"AutoConfigURL" = "file://%UserProfile%\Application Data\proxy.pac"
* HKEY_CURRENT_USER\Software\Policies\Microsoft\Wind ows\CurrentVersion\Internet Settings\"EnableAutoProxyResultCache" = "0"


Подключается к удаленному серверу (89.107.66.239) для получения инструкций от атакующего.

Приложение может изменять результаты поиска, загружаемые с поисковых порталов, отображать рекламу и заменять стартовую страницу Internet Explorer.

Разработчик: Synatix GmbH
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Приложение для платформы Windows, отображающее рекламу без ведома пользователя. Модифицирует содержимое веб-страниц поисковых систем с результатами поиска, внедряя туда рекламу. Изменяет домашнюю страницу браузера Internet Explorer.

источник: Symantec.com

[lastmylove]

PestSweeper

Признаки

При запуске программа создает следующие файлы:

* %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch\pestsweeper.lnk
* %UserProfile%\Desktop\pestsweeper.lnk
* %UserProfile%\Local Settings\Application Data\Microsoft\Windows\sav.exe
* %UserProfile%\Local Settings\Temp\sav.exe
* %UserProfile%\Local Settings\Apps\2.0\srw94.exe
* C:\Documents and Settings\All Users\Start Menu\Programs\PestSweeper\pestsweeper on the Web.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\PestSweeper\pestsweeper.lnk
* C:\Documents and Settings\All Users\Start Menu\Programs\PestSweeper\Uninstall pestsweeper.lnk
* %ProgramFiles%\PestSweeper\alarm.wav
* %ProgramFiles%\PestSweeper\click.wav
* %ProgramFiles%\PestSweeper\config.cfg
* %ProgramFiles%\PestSweeper\dbinfo
* %ProgramFiles%\PestSweeper\dll\def2.base
* %ProgramFiles%\PestSweeper\dll\defbase0.db
* %ProgramFiles%\PestSweeper\dll\defbase1.db
* %ProgramFiles%\PestSweeper\dll\defbase2.db
* %ProgramFiles%\PestSweeper\dll\defbase3.db
* %ProgramFiles%\PestSweeper\dll\defbase4.db
* %ProgramFiles%\PestSweeper\dll\defbase5.db
* %ProgramFiles%\PestSweeper\dll\defbase6.db
* %ProgramFiles%\PestSweeper\dll\defbase7.db
* %ProgramFiles%\PestSweeper\dll\defbase8.db
* %ProgramFiles%\PestSweeper\dll\immunization.pl
* %ProgramFiles%\PestSweeper\dll\license
* %ProgramFiles%\PestSweeper\dll\sig2.base
* %ProgramFiles%\PestSweeper\dll\sigrules.rul
* %ProgramFiles%\PestSweeper\dll\update.scr
* %ProgramFiles%\PestSweeper\pestsweeper.exe
* %ProgramFiles%\PestSweeper\pestsweeper.url
* %ProgramFiles%\PestSweeper\success.wav
* %ProgramFiles%\PestSweeper\unins000.dat
* %ProgramFiles%\PestSweeper\unins000.exe
* %Windir%\system\cmsd.exe
* %Windir%\system\MsWin000.exe
* %SystemRoot%\winxplogon.sys


(%UserProfile% - директория с системными настройками и временными файлами для текущего пользователя,
%ProgramFiles% - директория по умолчанию, куда устанавливаются все приложения,
%Windir% - директория, в которую установлена Windows,
%SystemRoot% - корневая директория системы (обычно, C:\Windows))

Создает в реестре запись, обеспечивающую автозапуск при каждом старте Windows:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"pestsweeper" = "C:\Program Files\PestSweeper\pestsweeper.exe"


Также создает в реестре подключи:

* HKEY_CURRENT_USER\Software\pestsweeper
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\PestSweeper_is1
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MenuOrder\Start Menu\Programs\PestSweeper
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MenuOrder\Start Menu2\Programs\PestSweeper


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Фальшивый антивирус для платформы Windows. Отображает сообщения о несуществующих вредоносных программах, найденных в системе, и предлагает оплатить полную версию для их удаления.

источник: Symantec.com