Вредоносное ПО (Обзор)

[lastmylove]

Lowzones.UH

Признаки

При старте создает два файла со случайными именами - свои копии - в директории "Documents and Settings" текущего пользователя и в системной директории Windows.

Для обеспечения автозагрузки модифицирует в реестре запись "HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon \\ Userinit", заменяя значение с "%sysdir%\userinit.exe" на "%sysdir%\userinit.exe, C:\Documents and Settings\%user%\%filename% \s".

(Примечание: %user% - имя текущего пользователя, %filename% - случайное имя файла, присвоенное копии червя при создании.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Крадет различные реквизиты доступа и отправляет их атакующему по электронной почте, используя почтовый сервис, доступный пользователю.

Визуально не проявляется.

источник: PandaSecurity.com

[lastmylove]

MeteorBot.A

Признаки

При запуске создает файлы "FOTOS.EXE" и "ZY751UZ.JPG" в директории "C:\Extracted", а также файл "FOTO.EXE" в директории "Windows\Foto".

Через реестр обеспечивает себе автозагрузку при каждом старте Windows:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\Active Setup\ Installed Components\ {FD7DD491-D1A2-3E68-B399-C41EDA50AD09}
%windir%\foto\foto.exe s

Файл сжат упаковщиком Themida.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян-"backdoor" для платформы Windows. Поступает в виде файла с иконкой логотипа "Супермена" и именем "Iconos.exe". Размещает в системе фото подростка, которое отображает при запуске. Отправляет атакующему имя компьютера, IP-адрес и версию операционной системы, открывает в системе порт.

источник: PandaSecurity.com

[lastmylove]

AutoKitty.A

Признаки

При запуске создает следующие файлы - свои копии:

* файл с именем, под которым был запущен, в поддиректории CACHE директории Windows
* файл с именем, под которым был запущен, в директории "/Picture" на всех дисках
* файлы DTSYSTRA.EXE и SYSHOST.EXE в системной директории Windows (далее %sysdir%)
* PROMON.EXE и DLCTRL.EXE в системной директории Windows
* MSSRC.EXE в поддиректории drivers в системной директории Windows


Через реестр обеспечивает себе автозапуск при каждом старте Windows. Записывает в раздел "HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run" следующие ключи:

* dlctrl = %sysdir%\dlctrl.exe
* mssrc = %sysdir%\drivers\mssrc.exe
* promon =%sysdir%\promon.exe
* dtsystra = %windir%\system\dtsystra.exe
* syshost = %windir%\system\syshost.exe


Через реестр отключает доступ к "Редактору реестра", "Диспетчеру задач", пункты "Выполнить", "Поиск" в меню "Пуск", пункт "Свойства папки" в меню "Проводника", соответственно:

* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System
DisableRegistryTools = 1
* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System
DisableTaskMgr = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoRun = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoFind = 1
* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoFolderOptions = 1


Отключает отображение контекстного меню по нажатию правой кнопки мыши:

* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoTrayContextMenu = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoViewContextMenu = 1


Отключает командную оболочку, пункт меню "Поиск" в "Проводнике", функцию безопасной загрузки по "Ctrl+Alt+Supr", соответственно:

* HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ System
DisableCMD = 1
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer
NoShellSearchButton = 1
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT\Windows\CurrentVersion\Winlogon
DisableCAD = 1


Заменяет заголовок окна Internet Explorer:

* HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
Window Title = Yours truly, Kitty Kat
* HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer
EnableBalloonTips = 0


Отключает брандмауэр Windows:

* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
DoNotAllowExceptions = 0
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
EnableFirewall = 0
* HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
DoNotAllowExceptions = 0
* HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile
EnableFirewall = 0


Устанавливает новую стартовую страницу Internet Explorer:

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Internet Explorer\ Main
Start Page = http://www.lyricsandsongs.com/song/759770.html


Модифицирует имя пользователя, на которое зарегистрирована система, и серийный номер продукта:

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion
RegisteredOwner = KittyKat
* KEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion
ProductId = KITTY-KAT-LOVESSS-YOUUU


Отключает отображение скрытых и системных файлов и отображение расширений:

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ Folder\ Hidden\ SHOWALL
CheckedValue = 0
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ Folder\ HideFileExt
CheckedValue = 0


Копирует себя на все диски в директорию "\Picture", в корне размещает файл autorun.inf, обеспечивая автозапуск при подключении диска к системе.

Написан на языке программирования AutoIT.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием себя на все диски. Поступает на компьютер в файле с иконкой, на которой изображен котенок, под именем "m_KITTYKAT.EXE". Заменяет стартовую страницу Internet Explorer на страницу с текстом песни на сайте текстов песен, заменяет заголовок окна Internet Explorer на "Yours truly, Kitty Kat". Заменяет имя пользователя, на которого зарегистрирован компьютер.

источник: PandaSecurity.com

[lastmylove]

PHilto.A

Признаки

Троян устанавливает на компьютер adware NaviPromo, по классификации Panda Security; распространяется в спаме.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур

Действие

Троян для платформы Windows. Предлагает просмотреть видео с Пэрис Хилтон (Paris Hilton), отображая лицензионное соглашение на испанском языке. Соглашаясь, пользователь, таким образом, устанавливает себе на компьютер adware NaviPromo, который троян загружает из интернета, а также получает возможность просмотреть видео, которое загружается отдельно. Иконка исполняемого файла представляет собой фото Пэрис Хилтон.

источник: PandaSecurity.com

[lastmylove]

MSNBot.D

Признаки

Собирает персональную информацию в системе: адреса электронной почты, учетные записи и пароли к ним, сохраняет их в текстовый файл и отправляет атакующему. Адреса также использует для рассылки своих копий.

Через реестр обеспечивает себе автозагрузку при каждом старте Windows. Записывает себя в установочную директорию Windows.

Написан в Испании. Язык программирования: Visual Basic.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Собирает в системе адреса электронной почты, различные учетные записи с паролями, и отправляет их атакующему. Распространяется рассылкой себя по адресам электронной почты, найденным на компьютере жертвы. Вложенный файл имеет иконку с изображением логотипа MSN (Microsoft Network).

источник: PandaSecurity.com

[lastmylove]

Sinowal.VTJ

Признаки

При старте создает в системной директории (%sysdir%) свою копию под именем OEMBIOS.EXE, и файлы SYSPROC32.SYS и SYSPROC86.SYS, в поддиректории sysproc64 в %sysdir%.

Троян обеспечивает себе автозагрузку при каждом старте Windows. Для этого он записывает путь к своей копии в соответствующем разделе реестра:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ WindowsNT\ CurrentVersion\ Winlogon Userinit = %sysdir%\oembios.exe

Текст письма, с которым приходит троян:

Тема: I am wait your reply
Текст:
To Whom It May Concern: To Whom It May Concern:

I am tired of receiving messages containing malicious computer programs (viruses) from your e-mail address!!! I am tired of receiving messages containing malicious computer programs (viruses) from your e-mail address!
If within 1-2 days you do not stop sending messages to my e-mail address, I will have to address this issue to the Police!: If within 1-2 days you do not stop sending messages to my e-mail address, I will have to address this issue to the Police!:
Today I received a hard copy of your data logs from my Internet service provider. Today I received a hard copy of your data logs from my Internet service provider. The copy contains your IP address, logs of sending malicious programs and your e-mail address details: The copy contains your IP address, logs of sending malicious programs and your e-mail address details:
I am sending you the copy of the document containing your data and logs of sending malicious programs as the proof of your fault!!!!!! I am sending you the copy of the document containing your data and logs of sending malicious programs as the proof of your fault !!!!!! You must print the document containing the list of your data and logs of sending malicious programs and pass it on to your Internet service provider with, so that they could find out why the viruses are sent from your computer to my e-mail address!!!! You must print the document containing the list of your data and logs of sending malicious programs and pass it on to your Internet service provider with, so that they could find out why the viruses are sent from your computer to my e-mail address! !

Ask your Internet service provider to resolve this problem!!!! Ask your Internet service provider to resolve this problem!!

Do this now!!! Do this now!
Once again!!! Once Again! If you dont stop sending the letters, I will address to the Police and file a lawsuit against you!!! If you dont stop sending the letters, I will address to the Police and file a lawsuit against you!
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Предназначен для кражи реквизитов и куки Internet Explorer.

Рассылается злоумышленниками в спаме; сообщение содержит текст на английском языке, обвиняющий получателя в рассылке вредоносных программ и угрозами обратиться в полицию. Сам троян прикреплен в файле "IPLOGS.zip", который представлен как журнал вирусных атак. Внутри находится сам троян, IPLOGS.exe, с иконкой документа PDF.

источник: PandaSecurity.com

[lastmylove]

Trojan.Eskiuel

Признаки

При старте создает файл "dnary.mdb" в системной директории Windows (%System%). Там же создает директорию ZeHin, в которую загружает дополнительный вредоносный код.

Удаляет файлы %System%\ias\dnary.mdb и %System%\ias\ias.mdb.

Обеспечивает все необходимые права доступа в Сеть для приложения ftp.exe.

Снимает ограничения для недоверенных приложений и Jet Engine. Для этого модифицирует в реестре соответствующую запись:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Jet\ 4.0\ Engines\ "SandBoxMode" = "3"

При запуске трояну в командной строке передается IP-адрес (предполагается, что его запускают другие вредоносные программы). Троян сканирует подсеть класса B (x.x.*.*) на наличие SQL-серверов.

При обнаружении SQL-сервера пытается подобрать пароль администратора по словарю наиболее распространенных паролей. В случае успеха, отправляет команду на выполнение хранимых процедур (stored procedures), которые позволяют выполнить команды системы, понижающие уровень защиты системы.

Затем троян использует ftp.exe для загрузки дополнительного вредоносного кода с сайта SuperQ.Vicp.Cc.

Троян использует хранимые процедуры для распространения через SQL-серверы.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Win32 (NT, 2000, XP, Vista, Server 2003, Server 2008). Сканирует сеть на предмет SQL-серверов, подбирает пароли, пытается выполнить хранимую процедуру (stored procedure) для последующего выполнения командного файла, понижающего настройки защиты. Загружает дополнительный вредоносный код из интернета.

источник: Symantec.com

[lastmylove]

Goldun.TB

Признаки

При старте создает следующие файлы в системной директории Windows (далее %sysdir%):

* RUNDLL32.EXE
* K86.BIN
* CABPCK.DLL
* KRNLCAB.SYS - файл руткита

Также создает в директории "Documents and Settings\Local Settings\Temp" текущего пользователя директорию "MSI_SETUP".

Через реестр регистрирует сервис, который может работать в обычном и "безопасном" режимах работы системы:
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Minimal\ krnlcab.sys
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot\ Network\ krnlcab.sys

Также добавляет себя в список приложений, разрешенных к полному доступу в Сеть брандмауэром Windows:
HKEY_LOCAL_MACHINE\ System\ controlset001\ Services\ Sharedaccess\ parameters\ firewallpolicy\ standardprofile\ authorizedapplications\ List \ %sysdir%\rundll32.exe:*:Enabled:rundll32
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян для платформы Windows. Предназначен для кражи реквизитов платежных систем, в частности, E-Gold. Обходит брандмауэр Windows; скрывает свое присутствие в системе при помощи руткита.

Рассылается злоумышленниками в спаме от имени Internet Service Consortium. Письмо на английском языке обвиняет пользователя в незаконной деятельности в Сети (пиратстве) и сообщает о намерении отключить его от интернета. Троян находится во вложении "USER-EA49943X-ACTIVITIES.ZIP", которое позиционируется как журнал активности пользователя в Сети за последние полгода.

Оригинал письма:
Тема: Your internet access is going to get suspended
Текст:
Your internet access is going to get suspended

The Internet Service Provider Consorcium was made to protect the rights of software authors, artists.
We conduct regular wiretapping on our networks, to monitor criminal acts.

We are aware of your illegal activities on the internet wich were originating from

You can check the report of your activities in the past 6 month that we have attached. We strongly advise you to stop your activities regarding the illegal downloading of copyrighted material of your internet access will be suspended.

Sincerely
ICS Monitoring Team

источник: PandaSecurity.com

[lastmylove]

Singu.AM

Признаки

При запуске создает свою копию в системной директории Windows под именем "INETPUT.EXE". Регистрирует себя как сервис.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Найти и остановить сервис, созданный вредоносной программой.
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян с функционалом backdoor для платформы Windows. Устанавливает себя как сервис, открывает в системе "черный ход", позволяет атакующему контролировать сетевой трафик, вести журнал нажатых клавиш, получать доступ к реестру, устанавливать параметры соединения с интернетом.

Визуально не проявляется.

источник: PandaSecurity.com

[DjAnubis]

Новый троян AutoIt.dt

Описание: (даю свое, т.к. в сети нихрена нет и его ещё никто не лечит, и нет инфы как бороться.)

Bирус я получил с флешки, хотя вроде и отключал авторан в gpedit.msc и открывал и удалял его с тотал командера, он тем не менее запустился.

Cимптомы:
Bо всех расшаренных папках появляются два файла: axvpte.exe размером 453 624 байт и khq размером 0 байт.
Иногда модифицирует название на hdhmqc.exe. В екзешке есть хмл файл с заголовком AutoIt v3.Может без пробела.
Создает в Мой компьютер значок Веб-папки, который запускает csscr.exe.

Чистка:

1. Удаляем все файлы khq, и ехе-шки размером 453 624 байта, если думаете что екзешка "своя", то проверьте в командере через F3 есть ли там строка AutoIt v3. Может без пробела.

2. В папке System32 удаляем скрытый csscr.exe, сняв перед этим его через Диспетчер задач (он идёт от имени пользователя)
или с помощью Unlocker Assistant. На всякий - проверяем папку dllcache. Documents&Settings/<username>/Local.../Temp - само собой.

3. Чистим реестр (если вы не разбираетесь, обратитесь к другу-программисту) -
HKLM/Software/Microsoft/Windows/CurrentVersion/Run - удаляем подозрительные записи
HKLM/Software/Microsoft/Windows/CurrentVersion/RunOnce - удаляем подозрительные записи
HKCU/Software/Microsoft/Windows/CurrentVersion/Run - удаляем подозрительные записи
HKCU/Software/Microsoft/Windows/CurrentVersion/RunOnce - удаляем подозрительные записи
HKLM/Software/Microsoft/WindowsNT/CurrentVersion/Winlogon параметр Shell должен быть Explorer.exе, если не так - то меняем.
HKLM/Software/Microsoft/Windows/CurrentVersion/policies/explorer/run удаляем запуск csscr.exe

4. Удаляем значок Веб-папки из Моего компьютера:
HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/MyComputer/NameSpace
HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/MyComputer/NameSpace
ищем и удаляем раздел {BDEADF00-C265-11D0-BCED-00A0C90AB50F} или {BDEADF00-C265-11d0-BCED-00A0C90AB50F}. Возможно понадобится перезагрузка.

Вроде всё.
Спасибо за внимание.

[lastmylove]

P2PShared.M

Признаки

При запуске записывает себя в системную директорию Windows (далее %sysdir%) под именем "WMPIRVSE.EXE", а также создает файл "QUALYSGUARD.EXE".

Через реестр обеспечивает себе автозагрузку при каждом запуске Windows, для чего делает там ряд записей:

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Ole \ Qualys Security = qualysguard.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run \ Qualys Security = qualysguard.exe
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ RunServices \ Qualys Security = qualysguard.exe
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run \ Qualys Security = qualysguard.exe
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ RunServices \ Qualys Security = qualysguard.exe
* HKEY_CURRENT_USER\ SYSTEM\ CurrentControlSet\ Control\ Lsa \ Qualys Security = qualysguard.exe
* HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Control\ Lsa \ Qualys Security = qualysguard.exe
* HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ Lsa \ Qualys Security = qualysguard.exe

Создает в реестре метки, по которым определяет, установлен ли он на компьютере:

* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ ComDlg32 \ biox2 = 09
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ ComDlg32 \ hazardx2 = 22

Также создает в реестре запись:
HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ ShellNoRoam\ MUICache \ %sysdir%\qualysguard.exe = qualysguard

Записывает себя в открытые директории P2P-приложений под следующими именами:

* Absolute Video Converter 3.07.exe, Acker DVD Ripper 2008.exe, Adobe Acrobat Reader keygen.exe, Adobe Soundbooth CS3.exe, Anti-Trojan Elite v4.01.exe, AOL Password Cracker.exe, Ashampoo PowerUp v3.10.exe.
* BitDefender AntiVirus 2008 Keygen.exe, Boilsoft DVD Ripper 2.82.exe.
* Canvas Security Framework 2008 LiMiTeD with 50 0day.exe, CleanMyPC Registry Cleaner v4.02.exe.
* Daemon Tools Pro 4.10.218.0.exe, DivX 5.0 Pro KeyGen.exe, Download Boost 2.0.exe.
* Email Spider.exe, Error Doctor 2008.exe.
* Google ADsense clicking bot.SFX.exe.
* Hotmail account bruteforcer bot.exe, Hotmail spammer bot.exe.
* Icepack IDT Gold edition 2008 LEAKED.exe.
* Microsoft Visual Basic KeyGen.exe, Microsoft Visual C++ KeyGen.exe, Microsoft Visual Studio KeyGen.exe, Mirc Keygen.exe.
* Norton Anti-Virus 2008 Enterprise Crack.exe.
* Password Cracker.exe, PC Secuity Tweaker 7.6.exe, ProRat 2.0 Special Edition.exe.
* Shadow Security Scanner 10 Gold.exe, Sophos antivirus updater bypass.exe, Super Utilities Pro 2008 8.0.1980.exe, SuperRam 5.1.28.2008.exe.
* Tarantula Full version CRACKED by RaZoR.exe, TCN ISO cable modem hacking tools.exe, TCN ISO SigmaX2 firmware.bin.exe.
* VmWare ESX GSX server keygen.exe, VmWare keygen.exe, VMware Workstation 6 Windows keygen.exe.
* Windows 2003 Advanced Server KeyGen.exe, Wow Glider incl serial.SFX.exe.
* Youtube Music Downloader 1.0.exe, YZdock Machintos osX like toolbar for windows.exe.

Написан на Visual Basic 6.0.
ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Червь для платформы Windows. Распространяется копированием себя в доступные для загрузки директории P2P-приложений eMule, Kazaa, KazaaLite, LimeWire, Morpheus и Tesla под привлекательными именами, провоцирующими пользователя на загрузку.

При запуске открывает в "Блокноте" двоичный файл, что выглядит как беспорядочный набор символов.

источник: PandaSecurity.com

[lastmylove]

Earanc.A

Признаки

Примитивный червь для платформы Windows. Перезаписывает все мультимедийные файлы своей копией, уничтожая их таким образом. Заменяет заголовок окна Internet Explorer, копируется на все диски вместе с файлом автозапуска "autorun.inf".
ЗАЩИТА

* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Восстановить удаленные мультимедийные файлы из резервных копий, если таковые имеются

Действие

Примитивный червь для платформы Windows. Перезаписывает все мультимедийные файлы своей копией, уничтожая их таким образом. Заменяет заголовок окна Internet Explorer, копируется на все диски вместе с файлом автозапуска "autorun.inf".

источник: PandaSecurity.com

[lastmylove]

W32.Harakit

Признаки

При старте создает следующие файлы:

* %SystemDrive%\khq
* %SystemDrive%\khr
* %System%\cftm.exe
* %System%\cftmen.exe


(%SystemDrive% - системный диск, %System% - системная директория Windows)

Затем копирует себя как "%System%\csrcs.exe" и удаляет копию, с которой был запущен.

Копирует себя в корень каждого диска, доступного для записи, создавая там же файл автозапуска autorun.inf.

Обеспечивает себе автозагрузку при каждом старте системы. Для этого вносит в реестр следующие записи (последнюю - модифицирует):

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ policies\ Explorer\ Run\ "cftm" = "C:\WINDOWS\system32\cftm.exe"
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ policies\ Explorer\ Run\ "csrcs" = "C:\WINDOWS\system32\csrcs.exe"
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run\ "cftm" = "C:\WINDOWS\system32\cftm.exe"
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ RunServices\ "cftm" = "C:\WINDOWS\system32\cftm.exe"
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon\ "Shell" = "Explorer.exe csrcs.exe"


Через реестр отключает отображение файлов в системной директории:

* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced\ "ShowSuperHidden" = "0"


Может создать и заполнить различными данными следующие ключи реестра:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM
* HKEY_LOCAL_MACHINE\SOFTWARE\ESET\Nod


Может удалить следующие записи в реестре:

* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\"NoDriveTypeAutoRun" = "B5"
* HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\"NoDriveAutoRun" = "FF FF FF 03"


Может удалять из реестра записи с целью понижения защищенности системы:

* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ policies\ NonEnum
* HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ policies\ system


Для обеспечения НСД атакующему, подключается к IRC-серверу для получения и выполнения следующих команд:

* Сбор конфиденциальной информации
* Работа на IRC-каналах в качестве бота
* Загрузка и запуск дополнительных исполняемых файлов
* Обновление себя


Пытается подключаться к ряду URL:

* akitaka.oct382x.com/lexum/genst.htm
* checkip.dyndns.org/?rndl
* diesam.moe.hm/ii/133.php
* geoloc.daiguo.com
* lemox.myhome.cx
* oct382x.com/4.exe
* oct382x.com/4.php
* oct382x.com/lexum/genste.htm
* sousi/extasix.com/genst.htm
* tonkor.or.tp/llkah.htm
* tonkor.or.tp/worlog1.php
* tonkor.or.tp/worlog2.php
* tonkor.or.tp/worlog3.php
* tonkor.or.tp/worlog4.php
* tonkor.or.tp/worlog5.php
* tonkor.or.tp/worlog6.php
* www.whatismyip.com/?rndl
* www.whatismyip.com/automation/n09230945.asp
* zkarmy.dip.jp/oolksh.htm


ЗАЩИТА

* Отключить функцию "Восстановление системы" (для Windows ME и XP)
* Полностью проверить систему антивирусом с обновлённой базой сигнатур
* Удалить все ключи реестра, созданные вредоносной программой; восстановить изменённые настройки (использовать regedit.exe)

Действие

Троян-червь для платформы Windows. Распространяется копированием на совместно используемые сетевые ресурсы, съемные диски и интернет-пейджеры. Открывает в системе "черный ход" через IRC сервер.

источник: Symantec.com

[Sashik1]

Подскажите как убить вируса, который сидит ...NetWorkService...?Зовется типа hadzr.Каспер почему то его не удаляет.Вручную пробовал тоже не получилось

[bazukoff]

походу поймал вирус или вирусную прогу - сканировал свой комп Эвересом, и он показал производительность системы - 2%. смотрел диспетчер задач виндовс - а там папка DungCoi то появляется, то исчезает. комп тупит страшно. чо делать - помогите.