Вирусы
02 августа 2012
Trojan-Downloader.Win32.Small.bsuj

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

02 августа 2012
Trojan-Downloader.Win32.Small.bsum

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

27 июля 2012
Trojan-Downloader.Win32.Agent.djuz

Троянская программа, которая без ведома пользователя устанавливает в системе другое вредоносное ПО. Является приложением Windows (PE-EXE файл). Имеет размер 10240 байт. Написана на С++.

27 июля 2012
Trojan-Downloader.Java.Agent.kf

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является Java-классом (class-файл). Имеет размер 3775 байт.

25 июля 2012
Trojan-Downloader.Java.Agent.lc

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является Java-классом (class-файл). Имеет размер 3458 байт.

 
 
Рамблер

 
Яндекс.Погода
 
   Партнеры:
к списку всех партнеров
 
04 мая 2011 | Trojan.Win32.Agent.cyzi

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 13824 байта. Упакована UPX. Распакованный размер – около 24 КБ. Написана на C++.

Инсталляция

После запуска троянец выполняет следующие действия:

  • копирует свое тело в файлы:
  • %Program Files%/360rpv.exe
    %Program Files%/syslass.cpl

  • Извлекает из своего тела файл, который сохраняется в системе как
  • %System%/svcnet32.dll

    (13312 байт; детектируется Антивирусом Касперского как "Trojan.Win32.Agent.cyzi")

    Для созданного файла устанавливается дата и время создания/изменения идентичные системному файлу:

    %System%/ntdll.dll

  • Устанавливает для созданных файлов атрибуты "скрытый" (hidden), "системный" (system), "только чтение" (read only). При этом для оригинального файла троянца устанавливается атрибут "скрытый" (hidden).
  • Создает в системе службу со следующими параметрами:
    1. имя: "Avt-Net";
    2. имя, отображаемое в приложениях: "Portable Sound Serial Number Services";
    3. исполняемый файл:
    4. %SystemRoot%/system32/svchost -k Avt-Net

  • Создает ключи системного реестра:
  • [HKLM/Software/Microsoft/Windows NT/CurrentVersion/Svchost]
    "Avt-Net" = "Avt-Net"

    [HKLM/System/CurrentControlSet/Services/Avt-Net]
    "Description" = "Retrieves the serial number of any portable Sound player connected to this computer. If this service is stopped, any services that explicitly depend on it will fail to start."
    "DisplayName" = "Portable Sound Serial Number Services"
    "ErrorControl" = "0x1"
    "Group" = "Com Infrastructure"
    "ObjectName" = "LocalSystem"
    "Start" = "0x2"
    "Type" = "0x10"
    "FailureAction" = "00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 02 00 00 00 60 EA 00 00"
    "ImagePath" = "%SystemRoot%system32svchost -k Avt-Net"

    [HKLM/system/CurrentControlSet/Services/Avt-Net/Parameters]
    "ServiceDll" = "%SystemRoot%/system32/svcnet32.dll"

    Таким образом, вредоносный код извлеченной ранее библиотеки "svcnet32.dll" будет автоматически запускаться при каждом следующем старте системы.

  • Скрывает защищённые системные файлы, скрытые файлы и папки, а также расширения для exe-файлов, изменяя значения ключей системного реестра:
  • [HKCRexefile]
    "NeverShowExt" = "0x0"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced]
    "Hidden" = "0x2"
    "ShowSuperHidden" = "0x0"

    [HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/SHOWALL]
    "CheckedValue" = "0x1"

  • Запускает созданную ранее службу "Avt-Net".
  • Для удаления своего оригинального файла после завершения его работы запускает системный командный интерпретатор "CMD.EXE" с параметрами:
  • /c del полный путь к оригинальному файлу троянца nul

После этого троянец завершает свою работу.

Деструктивная активность

Запуск созданной на этапе инсталляции службы "Avt-Net" приводит к выполнению следующих действий:

  • для контроля уникальности процесса вредоноса в системе создается уникальный идентификатор с именем "_u_hook".
  • Устанавливается хук-процедура, отслеживающая сообщения в системной очереди до момента их отправки соответствующей оконной процедуре.Используя установленных хук, вредонос пытается предотвратить удаление файла:
  • %Program Files%/360rpv.exe

    В случае удаления, файл восстанавливается с копии:

    %Program Files%/syslass.cpl

  • Предотвращается модификация ключей системного реестра, путем циклического их создания:
  • [HKCRexefile]
    "NeverShowExt" = "0x0"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced]
    "Hidden" = "0x2"
    "ShowSuperHidden" = "0x0"

    [HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/SHOWALL]
    "CheckedValue" = "0x1"

  • В бесконечном цикле с интервалом в 10 секунд из сети Интернет загружаются файлы по следующим ссылкам:
  • http://me***ager.xicp.net:99/index.txt
    http://www.mi***ryfocus.net:99/index.txt

    и сохраняются как

    %Program Files%/Common Files/Plugins/index.txt

    Загружаемые файлы содержат списки ссылок для загрузки на зараженный компьютер других вредоносных программ. По считанным ссылкам вредонос загружает файлы, сохраняя их в каталоге хранения временных файлов текущего пользователя "%Temp%" под случайными именами.

    После успешной загрузки файлы запускаются на выполнение.

    На момент создания описания обе указанные ссылки не работали.

    После каждой итерации цикла загрузки, загруженные файлы удаляются из кэша посредством вызова функции "DeleteUrlCacheEntry ".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить ключи системного реестра:
  2. [HKLM/Software/Microsoft/Windows NT/CurrentVersion/Svchost]
    "Avt-Net" = "Avt-Net"

    [HKLM/System/CurrentControlSet/Services/Avt-Net]
    "Description" = "Retrieves the serial number of any portable Sound player connected to this computer. If this service is stopped, any services that explicitly depend on it will fail to start."
    "DisplayName" = "Portable Sound Serial Number Services"
    "ErrorControl" = "0x1"
    "Group" = "Com Infrastructure"
    "ObjectName" = "LocalSystem"
    "Start" = "0x2"
    "Type" = "0x10"
    "FailureAction" = "00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 02 00 00 00 60 EA 00 00"
    "ImagePath" = "%SystemRoot%/system32/svchost -k Avt-Net"

    [HKLM/system/CurrentControlSet/Services/Avt-Net/Parameters]
    "ServiceDll" = "%SystemRoot%/system32/svcnet32.dll"

  3. Перезагрузить компьютер.
  4. Удалить файлы:
  5. %Program Files%/360rpv.exe
    %Program Files%/syslass.cpl
    %System%/svcnet32.dll
    %Program Files%/Common Files/Plugins/index.txt

  6. Восстановить оригинальные значения ключей системного реестра:
  7. [HKCR/exefile]
    "NeverShowExt"

    [HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced]
    "Hidden"
    "ShowSuperHidden"

    [HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/SHOWALL]
    "CheckedValue"

  8. Удалить файлы, загруженные троянцем в каталоге "%Temp%".
  9. Очистить каталог Temporary Internet Files.
  10. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

   Новости
17 сентября 2015 | Trend Micro: Китайские хакеры похитили «терабайты» данных у государственных и технокомпаний.

Хакеры занимались хищением интеллектуальной собственности и стратегически важных документов.

Согласно отчету ИБ-компании Trend Micro, берущая начало еще в 2010 году шпионская кампания, в рамках которой хакеры похищали данные государственных учреждений в Китае, на Филиппинах и Тибете, в 2013 году переключилась на технологические предприятия в США.

17 сентября 2015 | F-Secure: Российские хакеры в течение семи лет шпионили за правительственными организациями.

Хакеры использовали вредонос Dukes с целью хищения конфиденциальной информации.

11 сентября 2015 | Обнаружено первое вредоносное ПО для Android, изменяющее PIN-код.

Вредонос получает права администратора, деактивировать которые невозможно.

11 сентября 2015 | Способный обходить CAPTCHA троян для Android распространяется через Google Play.

Троян обходит CAPTCHA через перенаправление запросов на online-сервис Antigate.com.

03 сентября 2015 | Эксперт: Windows показывает неполный список всех доверенных корневых сертификатов.

Windows не предоставляет графический интерфейс для просмотра полного списка.

03 сентября 2015 | Миллионы домашних маршрутизаторов подвержены уязвимости Filet-O-Firewall.

Злоумышленники могут полностью скомпрометировать домашние сети миллионов пользователей.

Как следует из бюллетеня безопасности, размещенного на сайте CERT/CC, миллионы домашних маршрутизаторов могут быть подвержены уязвимости Fillet-o-Firewall.

24 августа 2015 | «Анонимный интернационал» опубликовал очередную порцию документов Минобороны РФ.

Хакеры опубликовали документы в доказательство некомпетентности сотрудников министерства в области безопасности данных.

Активисты из хакерской группировки «Анонимный интернационал», также известной как «Шалтай-Болтай», опубликовали очередную порцию документов, полученных в результате взлома электронной почты Ксении Большаковой, помощника и секретаря бывшего руководителя Департамента строительства Минобороны РФ Романа Филимонова.

24 августа 2015 | Google и Internet Explorer попали в федеральный список экстремистских материалов.

В перечень экстремистских материалов также попали «android_update» и «Kaspersky_antivirus».

Google, кэш «Яндекса» и Internet Explorer попали в федеральный список экстремистских материалов, размещенный на сайте Министерства юстиции России.

18 августа 2015 | Неудаляемые супер cookie-файлы продолжают использовать по всему миру

На данный момент только компания AT&T прекратила использование супер cookie-файлов.

По данным нового исследования, проведенного компанией по защите цифровых прав Access, как минимум 9 телекоммуникационных компаний по всему миру используют так называемые супер cookie-файлы для ведения контроля за online-действиями граждан.

18 августа 2015 | Windows 10 отправляет данные Microsoft даже в случае отключения определенных функций.

ОС отправляет данные на серверы Microsoft, даже если деактивировать Cortana и поиск в интернете.

Как сообщают эксперты издания ARS Technica, Windows 10 отсылает информацию пользователей на серверы Microsoft даже в случае отключения функций, связанных со сбором и хранением персональных данных.

 

 

     
Новости | Вирусы | Уязвимости | Статьи | Партнеры | Форум | Контакты
Rambler's Top100 Яндекс цитирования Каталог HeadNet.Ru Faststart - рейтинг сайтов, каталог интернет ресурсов, счетчик посещаемости Catalyse.ru Рейтинг@Mail.ru