Вирусы
02 августа 2012
Trojan-Downloader.Win32.Small.bsuj

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

02 августа 2012
Trojan-Downloader.Win32.Small.bsum

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

27 июля 2012
Trojan-Downloader.Win32.Agent.djuz

Троянская программа, которая без ведома пользователя устанавливает в системе другое вредоносное ПО. Является приложением Windows (PE-EXE файл). Имеет размер 10240 байт. Написана на С++.

27 июля 2012
Trojan-Downloader.Java.Agent.kf

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является Java-классом (class-файл). Имеет размер 3775 байт.

25 июля 2012
Trojan-Downloader.Java.Agent.lc

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является Java-классом (class-файл). Имеет размер 3458 байт.

 
 
Рамблер

 
Яндекс.Погода
 
   Партнеры:
к списку всех партнеров
 
28 января 2010 | Trojan-GameThief.Win32.Magania.cpct

Технические детали

Червь с троянским функционалом, создающий свои копии на съемных дисках. Является приложением Windows (PE-EXE файл). Имеет размер 109632 байт. Упакован неизвестным упаковщиком, распакованный размер 200 к.б.

Инсталляция

Копирует свой исполняемый файл как:

%Temp%/xvassdf.exe

Для автоматического запуска при каждом следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Run] 54dfsger=%System%/xvassdf.exe

Извлекает из своего исполняемого файла следующий файл:

%System%/4tddfwq0.dll

данный файл имеет размер 194092 байта и детектируется Антивирусом Касперского как Trojan-GameThief.Win32.Magania.cpbl.

Распространение

Копирует свой исполняемый файл в корень каждого раздела:

X:/r1bd.exe

где, X – буква раздела.

Так же вместе со своим исполняемым файлом червь помещает в корень диска сопровождающий файл:

X:/autorun.inf

который запускает исполняемый файл червя, каждый раз, когда пользователь открывает зараженный раздел при помощи программы ”Проводник”.

Деструктивная активность

Подгружает извлеченную библиотеку во все запущенные в системе процессы. Перехватывает ввод от клавиатуры и мыши в следующих процессах:

iexplore.exe
Ragexe.exe
YahooWidgetEngine.exe
Ypagerj.exe
pol.exe
coc.exe

Анализирует траффик идущий к следующим адресам:

211.13.235.228
211.13.235.227
211.13.235.226
211.13.235.229

Таким способом червь пытается похитить информацию о учетных записях игроков популярных онлайн игр и интернет пейджеров.

Собранные данные отправляются на сайты злоумышленникам в параметрах HTTP запросов к следующим адресам:

http://ga****i.com/r1b/rod/lin.asp
http://ga****i.com/r1b/ttr/lin.asp
http://ga****i.com/r1b/ryh/lin.asp
http://ga****i.com/r1b/fsy/lin.asp

Червь изменяет значения следующих параметров ключей реестра:

[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced/Folder/Hidden/SHOWALL] "CheckedValue" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced] "Hidden" = "2"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced] "ShowSuperHidden" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Pocilies/Explorer] "NoDriveTypeAutoRun" = "0x91"

Пытается завершить следующие процессы:

LIVESRV.EXE
VCRMON.EXE
Update.exe
CCSVCHST.EXE
ALUSCHEDULERSVC.EXE
luall.exe
ASHDISP.EXE
avast.setup
setup.ovr
EKRN.EXE
updater.dll
eguiEpfw.dll
eguiEmon.dll
ekrnEpfw.dll
ekrnEmon.dll
AVP.EXE
prupdate.ppl
AYAGENT.AYE
AYUpdate.aye
UFSEAGNT.EXE
SfFnUp.exe
UfUpdUi.exe
AVGNT.EXE
preupd.exe
update.exe
VSTSKMGR.EXE
vsupdate.dll
mcupdate.exe
AVGRSX.EXE
avgupd.exe
avgupd.exe

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить файл:
  2. %Temp%/xvassdf.exe

  3. Перезагрузить компьютер
  4. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  5. Удалить параметры в ключах системного реестра:
  6. [HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
    54dfsger=%System%/xvassdf.exe

    [HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/
    Explorer/Advanced/Folder/Hidden/SHOWALL] "CheckedValue" = "0"

    [HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
    Explorer/Advanced] "Hidden" = "2"

    [HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
    Explorer/Advanced] "ShowSuperHidden" = "0"

    [HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
    Pocilies/Explorer] "NoDriveTypeAutoRun" = "0x91"

  7. Удалить файлы:
  8. %System%/4tddfwq0.dll

  9. Удалить файлы со всех дисков:
  10. X:/r1bd.exe
    X:/autorun.inf

    где, X – буква диска.

  11. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

   Новости
17 сентября 2015 | Trend Micro: Китайские хакеры похитили «терабайты» данных у государственных и технокомпаний.

Хакеры занимались хищением интеллектуальной собственности и стратегически важных документов.

Согласно отчету ИБ-компании Trend Micro, берущая начало еще в 2010 году шпионская кампания, в рамках которой хакеры похищали данные государственных учреждений в Китае, на Филиппинах и Тибете, в 2013 году переключилась на технологические предприятия в США.

17 сентября 2015 | F-Secure: Российские хакеры в течение семи лет шпионили за правительственными организациями.

Хакеры использовали вредонос Dukes с целью хищения конфиденциальной информации.

11 сентября 2015 | Обнаружено первое вредоносное ПО для Android, изменяющее PIN-код.

Вредонос получает права администратора, деактивировать которые невозможно.

11 сентября 2015 | Способный обходить CAPTCHA троян для Android распространяется через Google Play.

Троян обходит CAPTCHA через перенаправление запросов на online-сервис Antigate.com.

03 сентября 2015 | Эксперт: Windows показывает неполный список всех доверенных корневых сертификатов.

Windows не предоставляет графический интерфейс для просмотра полного списка.

03 сентября 2015 | Миллионы домашних маршрутизаторов подвержены уязвимости Filet-O-Firewall.

Злоумышленники могут полностью скомпрометировать домашние сети миллионов пользователей.

Как следует из бюллетеня безопасности, размещенного на сайте CERT/CC, миллионы домашних маршрутизаторов могут быть подвержены уязвимости Fillet-o-Firewall.

24 августа 2015 | «Анонимный интернационал» опубликовал очередную порцию документов Минобороны РФ.

Хакеры опубликовали документы в доказательство некомпетентности сотрудников министерства в области безопасности данных.

Активисты из хакерской группировки «Анонимный интернационал», также известной как «Шалтай-Болтай», опубликовали очередную порцию документов, полученных в результате взлома электронной почты Ксении Большаковой, помощника и секретаря бывшего руководителя Департамента строительства Минобороны РФ Романа Филимонова.

24 августа 2015 | Google и Internet Explorer попали в федеральный список экстремистских материалов.

В перечень экстремистских материалов также попали «android_update» и «Kaspersky_antivirus».

Google, кэш «Яндекса» и Internet Explorer попали в федеральный список экстремистских материалов, размещенный на сайте Министерства юстиции России.

18 августа 2015 | Неудаляемые супер cookie-файлы продолжают использовать по всему миру

На данный момент только компания AT&T прекратила использование супер cookie-файлов.

По данным нового исследования, проведенного компанией по защите цифровых прав Access, как минимум 9 телекоммуникационных компаний по всему миру используют так называемые супер cookie-файлы для ведения контроля за online-действиями граждан.

18 августа 2015 | Windows 10 отправляет данные Microsoft даже в случае отключения определенных функций.

ОС отправляет данные на серверы Microsoft, даже если деактивировать Cortana и поиск в интернете.

Как сообщают эксперты издания ARS Technica, Windows 10 отсылает информацию пользователей на серверы Microsoft даже в случае отключения функций, связанных со сбором и хранением персональных данных.

 

 

     
Новости | Вирусы | Уязвимости | Статьи | Партнеры | Форум | Контакты
Rambler's Top100 Яндекс цитирования Каталог HeadNet.Ru Faststart - рейтинг сайтов, каталог интернет ресурсов, счетчик посещаемости Catalyse.ru Рейтинг@Mail.ru