Вирусы
02 августа 2012
Trojan-Downloader.Win32.Small.bsuj

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

02 августа 2012
Trojan-Downloader.Win32.Small.bsum

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

27 июля 2012
Trojan-Downloader.Win32.Agent.djuz

Троянская программа, которая без ведома пользователя устанавливает в системе другое вредоносное ПО. Является приложением Windows (PE-EXE файл). Имеет размер 10240 байт. Написана на С++.

27 июля 2012
Trojan-Downloader.Java.Agent.kf

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является Java-классом (class-файл). Имеет размер 3775 байт.

25 июля 2012
Trojan-Downloader.Java.Agent.lc

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является Java-классом (class-файл). Имеет размер 3458 байт.

 
 
Рамблер

 
Яндекс.Погода
 
   Партнеры:
к списку всех партнеров
 
31 мая 2011 | Backdoor.Win32.Ruskill.y

Технические детали

Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 143872 байта. Написана на С++.

Инсталляция

После запуска вредонос перемещает свое оригинальное тело и сохраняет под следующим именем:

%Documents and Settings%/%Current User%/Application Data/rnd.exe

где rnd – случайных 6 латинских букв.

Для автоматического запуска при каждом следующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"rnd"="%Documents and Settings%/%Current User%/Application Data/rnd.exe"

Деструктивная активность

Далее вредонос, для контроля уникальности своего процесса в системе, создает уникальный идентификатор с именем "aciCty21CAjoSS8o". Также выполняет внедрение своего вредоносного кода в адресное пространство процесса "explorer.exe" и всех запущенных системных процессов. Для скрытия своей вредоносной активности, а также для предотвращения своего удаления из системы бэкдор устанавливает системные перехватчики для следующих функций:

NtEnumerateValueKey
NtQueryDirectoryFile
CopyFileA
CopyFileW
DeleteFileA
DeleteFileW
MoveFileA
MoveFileW
CreateFileA
CreateFileW
Send
GetAddrInfoW
HttpSendRequestA
HttpSendRequestW
InternetWriteFile
DnsQuery_A
DnsQuery_W
PR_Write
URLDownloadToFileA
URLDownloadToFileW
RegCreateKeyExA
RegCreateKeyExW

Вредонос блокирует доступ к вэб-ресурсам доменные адреса которых содержат в себе строки:

webroot.
fortinet.
virusbuster.nprotect.
gdatasoftware.
virus.
precisesecurity.
lavasoft.
heck.tc
emsisoft.
onlinemalwarescanner.
onecare.live.
f-secure.
bullguard.
clamav.
pandasecurity.
sophos.
malwarebytes.
sunbeltsoftware.
norton.
norman.
mcafee.
Symantec
comodo.
avast.
avira.
avg.
bitdefender.
eset.
kaspersky.
trendmicro.
iseclab.
virscan.
garyshood.
viruschief.
jotti.
threatexpert.
novirusthanks.
virustotal.

Далее бэкдор подключается к IRC-серверу злоумышленника для получения дополнительных команд. Вредонос выполняет подключение к управляющему серверу со следующими параметрами:

IP-адрес:
173.***.103.19

Порт:
8888

Ник:
n{US|XPa}rnd

Пользователь:
rnd

Канал:
#DarkSons#

где rnd – случайные латинские буквы. После подключения, бэкдор сразу получает команду загрузки обновленной версии вредоноса и ссылки, по которым будет производиться загрузка. На момент создания описания вредонос загружал файлы по следующим ссылкам:

http://pictur***eave.com/67cf27c1deb85bc972606e13390b3c2c.exe
http://img1***erosh.com/2011/05/09/134130792.gif
http://movie***boost.in/install.52161.exe

которые сохраняются соответственно под следующими именами:

%Documents and Settings%/%Current User%/Application Data/rnd.exe

–обновленная версия вредоноса, имеет размер 188416 байт и детектируется антивирусом Касперского как Trojan.Win32.Powp.pwt.

%Documents and Settings%/%Current User%/Application Data/1.tmp

–имеет размер 84480 байт и детектируется антивирусом Касперского как Trojan.Win32.Jorik.Skor.acz.

%Documents and Settings%/%Current User%/Application Data/2.tmp

–имеет размер 71168 байт.

Далее загруженные файлы запускаются на выполнение. Вредонос собирает системную информацию, а именно:

  • IP адрес и месторасположение зараженной системы;
  • Локаль;
  • Тип ОС;
  • Уровень привилегий текущего пользователя.

IP-адрес и месторасположение системы троянец определяет путем обращения к следующему URL:

http://api.wi***ania.com/

Для приема и передачи параметров создает именованный канал с именем:

//./pipe/OgarD_ipc

Пытается выполнить подключение по следующим URL:

haso***tlgg.com
tama**anslate-google-cache.com
mate***ukatlgg.com
magazin***voddebila.com
ngrbck***adi-ga-van.info
fant***ervebeer.com
ngrbc***uristicka-agencija-reality.co.cc
ngrbck***aintgroup.co.za

Также, в зависимости от полученных команд с сервера злоумышленника, бэкдор может выполнять следующий деструктивный функционал:

  • Модифицировать системные файлы:
  • regsvr32.exe
    cmd.exe
    rundll32.exe
    regedit.exe
    verclsid.exe
    ipconfig.exe

  • Похищать конфиденциальную информацию пользователя, которая сохраняется в браузерах "Firefox" и "MS Internet Explorer". Похищать логины и пароли пользователя для доступа к следующим вэб-ресурсам:
  • OfficeBanking
    LogMeIn
    Megaupload
    FileServe
    Twitter
    cPanel
    AlertPay
    Moneybookers
    Runescape
    DynDNS
    NoIP
    Steam
    Hackforums
    Facebook
    Yahoo
    Microsoft Live
    GMX
    Gmail
    Fastmail
    BigString
    AOL
    YouTube
    PayPal

  • Выполнять атаку типа отказ от обслуживания DDoS (Distributed Denial of Service) используя следующие методы:
  • HTTP - флуд
    UDP – флуд
    SYN – флуд

    Тип атаки и адрес жертвы задается злоумышленником.

  • Посещать заданные злоумышленником веб-ресурсы.
  • Загружать по заданным ссылкам файлы и запускать их на выполнение. Загруженные файлы сохраняются под именем:
  • %Documents and Settings%/%Current User%/Application Data/имя_временного_файла.tmp

  • Заражать вэб-страницы на FTP и HTTP сервере пользователя, добавляя в страницы скрытый фрейм (iframe).
  • Выполнять манипуляции с DNS запросами для перенаправления и блокировки доступа к заданным сайтам.
  • Создавать SOCKS-прокси сервер на случайном TCP порте.
  • Распространятся на съемные носители, а также через IM клиенты.

Распространение

После подключения съемного носителя вредонос перехватывает сообщение системы о нахождении нового устройства и выполняет заражение съемного носителя – копирует свой исполняемый файл под именем:

X:/Recycler/9fddc8d5.exe

где X – буква логического диска съемного носителя. Также помещает в корень диска сопровождающий файл:

X:/autorun.inf

который запускает исполняемый файл червя, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник". Файлам устанавливается атрибут "Скрытый".

Также вредонос выполняет распространение вредоносных файлов, используя программы мгновенного обмена сообщениями - MSN, Pidgin, Xchat, mIRC. Вредонос получает от злоумышленника ссылку на вредоносный файл, а также сообщение, которое будет рассылаться всем контактам пользователя. Бэкдор получает сообщение такого вида:

hehhe!
http://my***book-album.tk/profile-pic001634.jpg

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить параметр в ключе системного реестра:
  2. [HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
    "rnd"="%Documents and Settings%/%Current User%/Application Data/rnd.exe"

  3. Удалить файлы:
  4. %Documents and Settings%/%Current User%/Application Data/rnd.exe
    %Documents and Settings%/%Current User%/Application Data/имя_временного_файла.tmp
    X:/Recycler/9fddc8d5.exe
    X:/autorun.inf

  5. Сменить пароли для всех учетных записей посещаемых вэб-сервисов:
  6. OfficeBanking
    LogMeIn
    Megaupload
    FileServe
    Twitter
    cPanel
    AlertPay
    Moneybookers
    Runescape
    DynDNS
    NoIP
    Steam
    Hackforums
    Facebook
    Yahoo
    Microsoft Live
    GMX
    Gmail
    Fastmail
    BigString
    AOL
    YouTube
    PayPal

  7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

   Новости
17 сентября 2015 | Trend Micro: Китайские хакеры похитили «терабайты» данных у государственных и технокомпаний.

Хакеры занимались хищением интеллектуальной собственности и стратегически важных документов.

Согласно отчету ИБ-компании Trend Micro, берущая начало еще в 2010 году шпионская кампания, в рамках которой хакеры похищали данные государственных учреждений в Китае, на Филиппинах и Тибете, в 2013 году переключилась на технологические предприятия в США.

17 сентября 2015 | F-Secure: Российские хакеры в течение семи лет шпионили за правительственными организациями.

Хакеры использовали вредонос Dukes с целью хищения конфиденциальной информации.

11 сентября 2015 | Обнаружено первое вредоносное ПО для Android, изменяющее PIN-код.

Вредонос получает права администратора, деактивировать которые невозможно.

11 сентября 2015 | Способный обходить CAPTCHA троян для Android распространяется через Google Play.

Троян обходит CAPTCHA через перенаправление запросов на online-сервис Antigate.com.

03 сентября 2015 | Эксперт: Windows показывает неполный список всех доверенных корневых сертификатов.

Windows не предоставляет графический интерфейс для просмотра полного списка.

03 сентября 2015 | Миллионы домашних маршрутизаторов подвержены уязвимости Filet-O-Firewall.

Злоумышленники могут полностью скомпрометировать домашние сети миллионов пользователей.

Как следует из бюллетеня безопасности, размещенного на сайте CERT/CC, миллионы домашних маршрутизаторов могут быть подвержены уязвимости Fillet-o-Firewall.

24 августа 2015 | «Анонимный интернационал» опубликовал очередную порцию документов Минобороны РФ.

Хакеры опубликовали документы в доказательство некомпетентности сотрудников министерства в области безопасности данных.

Активисты из хакерской группировки «Анонимный интернационал», также известной как «Шалтай-Болтай», опубликовали очередную порцию документов, полученных в результате взлома электронной почты Ксении Большаковой, помощника и секретаря бывшего руководителя Департамента строительства Минобороны РФ Романа Филимонова.

24 августа 2015 | Google и Internet Explorer попали в федеральный список экстремистских материалов.

В перечень экстремистских материалов также попали «android_update» и «Kaspersky_antivirus».

Google, кэш «Яндекса» и Internet Explorer попали в федеральный список экстремистских материалов, размещенный на сайте Министерства юстиции России.

18 августа 2015 | Неудаляемые супер cookie-файлы продолжают использовать по всему миру

На данный момент только компания AT&T прекратила использование супер cookie-файлов.

По данным нового исследования, проведенного компанией по защите цифровых прав Access, как минимум 9 телекоммуникационных компаний по всему миру используют так называемые супер cookie-файлы для ведения контроля за online-действиями граждан.

18 августа 2015 | Windows 10 отправляет данные Microsoft даже в случае отключения определенных функций.

ОС отправляет данные на серверы Microsoft, даже если деактивировать Cortana и поиск в интернете.

Как сообщают эксперты издания ARS Technica, Windows 10 отсылает информацию пользователей на серверы Microsoft даже в случае отключения функций, связанных со сбором и хранением персональных данных.

 

 

     
Новости | Вирусы | Уязвимости | Статьи | Партнеры | Форум | Контакты
Rambler's Top100 Яндекс цитирования Каталог HeadNet.Ru Faststart - рейтинг сайтов, каталог интернет ресурсов, счетчик посещаемости Catalyse.ru Рейтинг@Mail.ru