Вирусы
02 августа 2012
Trojan-Downloader.Win32.Small.bsuj

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

02 августа 2012
Trojan-Downloader.Win32.Small.bsum

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

27 июля 2012
Trojan-Downloader.Win32.Agent.djuz

Троянская программа, которая без ведома пользователя устанавливает в системе другое вредоносное ПО. Является приложением Windows (PE-EXE файл). Имеет размер 10240 байт. Написана на С++.

27 июля 2012
Trojan-Downloader.Java.Agent.kf

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является Java-классом (class-файл). Имеет размер 3775 байт.

25 июля 2012
Trojan-Downloader.Java.Agent.lc

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является Java-классом (class-файл). Имеет размер 3458 байт.

 
 
Рамблер

 
Яндекс.Погода
 
   Партнеры:
к списку всех партнеров
 
29 января 2010 | Trojan-Downloader.Win32.FraudLoad.wxpf

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 58880 байт. Написана на C++.

Инсталляция

После запуска троянец проверяет наличие в системном реестре следующих ключей:

[HKCU/Software/AntivirusXP]
"Key"

[HKCU/Software/RealAV]
"Key"

[HKLM/Software/AntivirusXP]
"Key"

[HKCU/Software/AVR]
"KEY"

[HKLM/Software/AVR]
"KEY"

Если ключи существуют, то троянец завершает свою работу.

В противном случае, троянец выполняет следующие действия:

  • удаляет файл:
  • %System%/winupdate.exe

  • Копирует свое тело в следующий файл:
  • %System%/winupdate.exe

  • Для автоматического запуска созданной копии при каждом следующем старте системы создает ключ системного реестра:
  • [HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
    "winupdate.exe" = "%System%/winupdate.exe"

  • Запускает на выполнение созданную копию. После этого троянец завершает свою работу.

Деструктивная активность

После запуска троянец выполняет следующие действия:

  • удаляет файл:
  • %System%/critical_warning.html

  • Извлекает из своего тела файл, который сохраняется в системе как
  • %System%/critical_warning.html

    Файл имеет размер 831 байт, и представляет собой HTML-страницу следующего вида:

  • Создает ключи системного реестра:
  • [HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/System]
    "DisableTaskMgr" = "1"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer]
    "NoSetActiveDesktop" = "1" "NoActiveDesktopChanges" = "1"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/ActiveDesktop]
    "NoChangingWallpaper" = "1"

    [HKLM/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer]
    "NoSetActiveDesktop" = "1" "NoActiveDesktopChanges" = "1"

    [HKLM/Software/Microsoft/Windows/CurrentVersion/Policies/ActiveDesktop]
    "NoChangingWallpaper" = "1"

    Это приводит к запрету запуска Диспетчера задач Windows, а также к изменению настроек Active Desktop.

  • Устанавливает ранее извлеченный файл "%System%/critical_warning.html" в качестве фонового изображения Рабочего стола. Для этого изменяются следующие значения ключей системного реестра:
  • [HKCU/Software/Microsoft/Internet Explorer/Desktop/General]
    "TileWallpaper" = "0"
    "WallpaperStyle" = "2"
    "Wallpaper" = "%System%/critical_warning.html"
    "WallpaperFileTime" = "00 98 50 FC 35 A4 C6 01"
    "WallpaperLocalFileTime" = "00 D0 9D 21 4F A4 C6 01"

    [HKCU/Control Panel/Desktop]
    "TileWallpaper" = "0" "WallpaperStyle" = "2"

  • Загружает из сети Интернет файлы по следующим ссылкам:
  • http://do****vr6.com/dfghfghgfj.dll
    http://do****vr6.com/cgi-bin/download.pl?code=

    Загруженные файлы сохраняются в системе как

    %System%/winhelper.dll

    (На момент создания описания загружался файл размером 22528 байт; детектируется Антивирусом Касперского как "Trojan-Ransom.Win32.Agent.jc")

    %System%/AVR09.exe

    (На момент создания описания загружался файл размером 1172480 байт; детектируется Антивирусом Касперского как "Trojan.Win32.FraudPack.acik")

  • Запускает системную утилиту "regsvr32.exe" со следующими параметрами:
  • /s %System%/winhelper.dll

    Это приводит к запуску исполняемого кода загруженной ранее библиотеки "%System%/winhelper.dll".

  • Для идентификации своего присутствия в системе создает ключ системного реестра:
  • [HKCU/Software] "8636065b-fef0-4255-b14f-54639f7900a4" = "8636065b-fef0-4255-b14f-54639f7900a4"

    Открывает в браузере, установленном по умолчанию, ссылку:

    http://ad******er-2009.com/buy/?code=

    В отдельном потоке в бесконечном цикле выгружает из системной памяти следующие процессы:

    AcroRd32.exe
    rstrui.exe
    CloneCD.exe
    cmd.exe
    digitaleditions.exe
    freecell.exe
    FullTiltPoker.exe
    GOM.exe
    hrtzzm.exe
    Icq.exe
    Illustrator.exe
    miranda32.exe
    moviemk.exe
    mplay32.exe
    mplayer2.exe
    mshearts.exe
    msimn.exe
    msmsgs.exe
    mspaint.exe
    MSWorks.exe
    Nero.exe
    NeroExpressPortable.exe
    nfs.exe
    OIS.exe
    OUTLOOK.exe
    Photoshop.exe
    pinball.exe
    PokerStars.exe
    POWERPNT.exe
    realplay.exe
    RecordingManager.exe
    RegCloneCD.exe
    regedit.exe
    RwcRun.exe
    RWipeRun.exe
    shvlzm.exe
    skypePM.exe
    RealPlayer.exe
    POWERPOI.exe
    word.exe
    EXCEL.exe
    MsnMsgr.exe
    chrome.exe
    GoogleEarth.exe
    wupdmgr.exe
    Skype.exe
    sndvol32.exe
    sol.exe
    setup_wm.exe
    spider.exe
    taskmgr.exe
    thebat.exe
    msconfig.exe
    uTorrent.exe
    vmware.exe
    winmine.exe
    WinRAR.exe
    WINWORD.exe
    control.exe
    notepad.exe
    calc.exe
    wmplayer.exe

  • В отдельном потоке в бесконечном цикле через каждые 12 минут запускает загруженный ранее файл:
  • %System%/AVR09.exe

  • В отдельном потоке в бесконечном цикле через каждые 20 минут загружает из сети Интернет файлы по следующей ссылке:
  • http://te****wn.com/cgi-bin/get.pl?l=

    (На момент создания описания ссылка не работала)

    Загруженные файлы сохраняются в системе под случайными именами:

    %System%/rnd.exe

    где rnd – случайное десятичное число.

    После успешной загрузки файлы запускаются на выполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить ключи системного реестра:
  2. [HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
    "winupdate.exe" = "%System%/winupdate.exe"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/System]
    "DisableTaskMgr" = "1"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer]
    "NoSetActiveDesktop" = "1" "NoActiveDesktopChanges" = "1"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/ActiveDesktop]
    "NoChangingWallpaper" = "1"

    [HKLM/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer]
    "NoSetActiveDesktop" = "1" "NoActiveDesktopChanges" = "1"

    [HKLM/Software/Microsoft/Windows/CurrentVersion/Policies/ActiveDesktop]
    "NoChangingWallpaper" = "1"

    [HKCUSoftware] "8636065b-fef0-4255-b14f-54639f7900a4" = "8636065b-fef0-4255-b14f-54639f7900a4"

  3. При помощи Диспетчера задач завершить следующие процессы:
  4. winupdate.exe
    AVR09.exe

  5. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  6. Восстановить исходные значения ключей системного реестра:
  7. [HKCU/Software/Microsoft/Internet Explorer/Desktop/General]
    "TileWallpaper" = "0"
    "WallpaperStyle" = "2"
    "Wallpaper" = "%System%/critical_warning.html"
    "WallpaperFileTime" = "00 98 50 FC 35 A4 C6 01"
    "WallpaperLocalFileTime" = "00 D0 9D 21 4F A4 C6 01"

    [HKCU/Control Panel/Desktop]
    "TileWallpaper" = "0"
    "WallpaperStyle" = "2"

  8. Отменить регистрацию загруженной троянцем библиотеки "%System%/winhelper.dll". Для этого следует запустить системную утилиту "regsvr32.exe" со следующими параметрами:
  9. /u %System%/winhelper.dll

  10. Удалить файлы:
  11. %System%/winupdate.exe
    %System%/critical_warning.html
    %System%/winhelper.dll
    %System%/AVR09.exe
    %System%/rnd.exe

  12. Очистить каталог Temporary Internet Files.
  13. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

   Новости
17 сентября 2015 | Trend Micro: Китайские хакеры похитили «терабайты» данных у государственных и технокомпаний.

Хакеры занимались хищением интеллектуальной собственности и стратегически важных документов.

Согласно отчету ИБ-компании Trend Micro, берущая начало еще в 2010 году шпионская кампания, в рамках которой хакеры похищали данные государственных учреждений в Китае, на Филиппинах и Тибете, в 2013 году переключилась на технологические предприятия в США.

17 сентября 2015 | F-Secure: Российские хакеры в течение семи лет шпионили за правительственными организациями.

Хакеры использовали вредонос Dukes с целью хищения конфиденциальной информации.

11 сентября 2015 | Обнаружено первое вредоносное ПО для Android, изменяющее PIN-код.

Вредонос получает права администратора, деактивировать которые невозможно.

11 сентября 2015 | Способный обходить CAPTCHA троян для Android распространяется через Google Play.

Троян обходит CAPTCHA через перенаправление запросов на online-сервис Antigate.com.

03 сентября 2015 | Эксперт: Windows показывает неполный список всех доверенных корневых сертификатов.

Windows не предоставляет графический интерфейс для просмотра полного списка.

03 сентября 2015 | Миллионы домашних маршрутизаторов подвержены уязвимости Filet-O-Firewall.

Злоумышленники могут полностью скомпрометировать домашние сети миллионов пользователей.

Как следует из бюллетеня безопасности, размещенного на сайте CERT/CC, миллионы домашних маршрутизаторов могут быть подвержены уязвимости Fillet-o-Firewall.

24 августа 2015 | «Анонимный интернационал» опубликовал очередную порцию документов Минобороны РФ.

Хакеры опубликовали документы в доказательство некомпетентности сотрудников министерства в области безопасности данных.

Активисты из хакерской группировки «Анонимный интернационал», также известной как «Шалтай-Болтай», опубликовали очередную порцию документов, полученных в результате взлома электронной почты Ксении Большаковой, помощника и секретаря бывшего руководителя Департамента строительства Минобороны РФ Романа Филимонова.

24 августа 2015 | Google и Internet Explorer попали в федеральный список экстремистских материалов.

В перечень экстремистских материалов также попали «android_update» и «Kaspersky_antivirus».

Google, кэш «Яндекса» и Internet Explorer попали в федеральный список экстремистских материалов, размещенный на сайте Министерства юстиции России.

18 августа 2015 | Неудаляемые супер cookie-файлы продолжают использовать по всему миру

На данный момент только компания AT&T прекратила использование супер cookie-файлов.

По данным нового исследования, проведенного компанией по защите цифровых прав Access, как минимум 9 телекоммуникационных компаний по всему миру используют так называемые супер cookie-файлы для ведения контроля за online-действиями граждан.

18 августа 2015 | Windows 10 отправляет данные Microsoft даже в случае отключения определенных функций.

ОС отправляет данные на серверы Microsoft, даже если деактивировать Cortana и поиск в интернете.

Как сообщают эксперты издания ARS Technica, Windows 10 отсылает информацию пользователей на серверы Microsoft даже в случае отключения функций, связанных со сбором и хранением персональных данных.

 

 

     
Новости | Вирусы | Уязвимости | Статьи | Партнеры | Форум | Контакты
Rambler's Top100 Яндекс цитирования Каталог HeadNet.Ru Faststart - рейтинг сайтов, каталог интернет ресурсов, счетчик посещаемости Catalyse.ru Рейтинг@Mail.ru