Вирусы
02 августа 2012
Trojan-Downloader.Win32.Small.bsuj

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

02 августа 2012
Trojan-Downloader.Win32.Small.bsum

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 3136 байт. Написана на C++.

27 июля 2012
Trojan-Downloader.Win32.Agent.djuz

Троянская программа, которая без ведома пользователя устанавливает в системе другое вредоносное ПО. Является приложением Windows (PE-EXE файл). Имеет размер 10240 байт. Написана на С++.

27 июля 2012
Trojan-Downloader.Java.Agent.kf

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является Java-классом (class-файл). Имеет размер 3775 байт.

25 июля 2012
Trojan-Downloader.Java.Agent.lc

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является Java-классом (class-файл). Имеет размер 3458 байт.

 
 
Рамблер

 
Яндекс.Погода
 
   Партнеры:
к списку всех партнеров
 
19 декабря 2011 | Trojan.Win32.Qhost.lxa

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 65536 байт. Написана на Visual Basic.

Инсталляция

Для автоматического запуска при следующем старте системы троянец добавляет запись в ключ автозапуска системного реестра:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"GoogleUpdate"="/имя вредоноса"

Деструктивная активность

После запуска троянец создает и запускает на выполнение файл:

c:/sysb.bat

С помощью этого файла троянец:

  • разрешает удаленный доступ к зараженному компьютеру, для чего создает ключ системного реестра:

    • [HKLM/System/CurrentControlSet/Control/Terminal Server]
    "fDenyTSConnections"= 1
    "AllowTSConnections"= 1

  • активирует "Удаленного помощника", для чего создает ключ системного реестра:

    • [HKLM/System/CurrentControlSet/Control/Terminal Server]
    "fAllowToGetHelp"= 1

  • Останавливает службы с именами:

    • central de seguranca
    wscsvc
    SharedAccess

  • Затем модифицирует файл:

    • c:/windows/system32/drivers/etc/hosts

    В который записывает следующие данные:

    199.238.144.115 visanet.com.br
    199.238.144.115 www.visanet.com.br
    199.238.144.115 www.openbank.es
    199.238.144.115 openbank.es
    199.238.144.115 www.lacaixa.es
    199.238.144.115 lacaixa.es
    199.238.144.115 www.bancoreal.com.br
    199.238.144.115 www.real.com.br
    199.238.144.115 www.real.com.br
    199.238.144.115 www.itau.com.br
    199.238.144.115 itau.com.br
    199.238.144.115 www.itaupersonnalite.com.br
    199.238.144.115 itaupersonnalite.com.br
    199.238.144.115 www.itauprivatebank.com.br
    199.238.144.115 itauprivatebank.com.br
    199.238.144.115 www.bb.com.br
    199.238.144.115 bb.com.br
    199.238.144.115 www.bb.gov.br
    199.238.144.115 bb.gov.br
    199.238.144.115 bradesco.com.br
    199.238.144.115 www.bradesco.com.br
    199.238.144.115 www.bradescoprime.com.br
    199.238.144.115 bradescoprime.com.br
    199.238.144.115 bradescojuridico.com.br
    199.238.144.115 www.checktudo.com.br
    199.238.144.115 checktudo.com.br
    199.238.144.115 www.infoseg.gov.br
    199.238.144.115 infoseg.gov.br
    199.238.144.115 www.real.com.br
    199.238.144.115 real.com.br
    199.238.144.115 www.bradescojuridico.com.br
    199.238.144.115 santander.com.br
    199.238.144.115 www.santander.com.br
    199.238.144.115 banespa.com.br
    199.238.144.115 www.nossacaixa.com.br
    199.238.144.115 nossacaixa.com.br
    199.238.144.115 www.unibanco.com.br
    199.238.144.115 unibanco.com.br
    199.238.144.115 www.banespa.com.br
    199.238.144.115 banespa.com.br
    199.238.144.115 www.itauprivatebank.com.br
    199.238.144.115 itauprivatebank.com.br
    199.238.144.115 caixacatalunya.es
    199.238.144.115 www.caixacatalunya.es
    199.238.144.115 banesto.es
    199.238.144.115 www.banesto.es
    199.238.144.115 www.cajamadrid.es
    199.238.144.115 cajamadrid.es
    199.238.144.115 www.bbva.es
    199.238.144.115 bbva.es
    199.238.144.115 serasa.com.br
    199.238.144.115 www.serasa.com.br
    199.238.144.115 www.cam.es
    199.238.144.115 cam.es
    199.238.144.115 portal.lacaixa.es
    199.238.144.115 www.banespa.com.br
    198.65.62.140 www.caixa.com.br
    198.65.62.140 caixa.com.br
    198.65.62.140 www.caixaeconomicafederal.com.br
    198.65.62.140 caixaeconomicafederal.com.br
    198.65.62.140 www.cef.com.br
    198.65.62.140 cef.com.br
    198.65.62.140 www.caixa.gov.br
    198.65.62.140 caixa.gov.br
    198.65.62.140 www.caixaeconomica.com.br
    198.65.62.140 caixaeconomica.com.br
    198.65.62.140 www.caixaeconomica.gov.br
    198.65.62.140 caixaeconomica.gov.br
    198.65.62.140 www.cef.gov.br
    198.65.62.140 www.caixaeconomicafederal.gov.br
    198.65.62.140 caixaeconomicafederal.gov.br
    199.238.144.115 cetelem.com.br
    199.238.144.115 www.cetelem.com.br
    199.238.144.115 citibank.com.br
    199.238.144.115 www.citibank.com.br
    199.238.144.115 www.pagamentodigital.com.br
    199.238.144.115 pagamentodigital.com.br
    199.238.144.115 www.cartaobndes.gov.br
    199.238.144.115 cartaobndes.gov.br
    199.238.144.115 americanas.com.br
    199.238.144.115 www.americanas.com.br
    199.238.144.115 americanas.com
    199.238.144.115 www.americanas.com

  • Далее троянец загружает файлы со следующих URL адресов:

    • http://www.cyprianosom.com.br/images/atual.txt
    http://www.ecep.com.br/img/atual.gif

    На момент создания описания ссылки не работали.

  • Загруженные файлы троянец сохраняет под следующими именами:

    • WorkDir/atual.txt
    WorkDir/atual.exe

  • После этого троянец запускает на выполнение файл "atual.exe".

  • Также троянец скрывает окно с заголовком:

    • avenger - Bloco de notas

    Рекомендации по удалению

    Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

    1. При помощи "Диспетчера задач" завершить вредоносный процесс.

    2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).

    3. Удалить параметр системного реестра:

      4. [HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
      "GoogleUpdate"="WorkDir/имя вредоноса"

    4. Удалить параметр системного реестра:

      5. [HKLM/System/CurrentControlSet/Control/Terminal Server]
      "fDenyTSConnections"= 1
      "AllowTSConnections"= 1

      [HKLM/System/CurrentControlSet/Control/Terminal Server]
      "fAllowToGetHelp"= 1

    5. Восстановить оригинальное содержимое файла:

      6. c:/windows/system32/drivers/etc/hosts

      которое по умолчанию имеет следующий вид:

      # (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
      #
      # Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
      #
      # Этот файл содержит сопоставления IP-адресов именам узлов.
      # Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
      # находиться в первом столбце, за ним должно следовать соответствующее имя.
      # IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
      #
      # Кроме того, в некоторых строках могут быть вставлены комментарии
      # (такие, как эта строка), они должны следовать за именем узла и отделяться
      # от него символом `#`.
      #
      # Например:
      #
      # 102.54.94.97 rhino.acme.com # исходный сервер
      # 38.25.63.10 x.acme.com # узел клиента x

      127.0.0.1 localhost

    6. Удалить файлы:

      7. WorkDir/atual.txt
      WorkDir/atual.exe
      c:/sysb.bat

    7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

    Источник: securelist.com.
       Новости
    17 сентября 2015 | Trend Micro: Китайские хакеры похитили «терабайты» данных у государственных и технокомпаний.

    Хакеры занимались хищением интеллектуальной собственности и стратегически важных документов.

    Согласно отчету ИБ-компании Trend Micro, берущая начало еще в 2010 году шпионская кампания, в рамках которой хакеры похищали данные государственных учреждений в Китае, на Филиппинах и Тибете, в 2013 году переключилась на технологические предприятия в США.

    17 сентября 2015 | F-Secure: Российские хакеры в течение семи лет шпионили за правительственными организациями.

    Хакеры использовали вредонос Dukes с целью хищения конфиденциальной информации.

    11 сентября 2015 | Обнаружено первое вредоносное ПО для Android, изменяющее PIN-код.

    Вредонос получает права администратора, деактивировать которые невозможно.

    11 сентября 2015 | Способный обходить CAPTCHA троян для Android распространяется через Google Play.

    Троян обходит CAPTCHA через перенаправление запросов на online-сервис Antigate.com.

    03 сентября 2015 | Эксперт: Windows показывает неполный список всех доверенных корневых сертификатов.

    Windows не предоставляет графический интерфейс для просмотра полного списка.

    03 сентября 2015 | Миллионы домашних маршрутизаторов подвержены уязвимости Filet-O-Firewall.

    Злоумышленники могут полностью скомпрометировать домашние сети миллионов пользователей.

    Как следует из бюллетеня безопасности, размещенного на сайте CERT/CC, миллионы домашних маршрутизаторов могут быть подвержены уязвимости Fillet-o-Firewall.

    24 августа 2015 | «Анонимный интернационал» опубликовал очередную порцию документов Минобороны РФ.

    Хакеры опубликовали документы в доказательство некомпетентности сотрудников министерства в области безопасности данных.

    Активисты из хакерской группировки «Анонимный интернационал», также известной как «Шалтай-Болтай», опубликовали очередную порцию документов, полученных в результате взлома электронной почты Ксении Большаковой, помощника и секретаря бывшего руководителя Департамента строительства Минобороны РФ Романа Филимонова.

    24 августа 2015 | Google и Internet Explorer попали в федеральный список экстремистских материалов.

    В перечень экстремистских материалов также попали «android_update» и «Kaspersky_antivirus».

    Google, кэш «Яндекса» и Internet Explorer попали в федеральный список экстремистских материалов, размещенный на сайте Министерства юстиции России.

    18 августа 2015 | Неудаляемые супер cookie-файлы продолжают использовать по всему миру

    На данный момент только компания AT&T прекратила использование супер cookie-файлов.

    По данным нового исследования, проведенного компанией по защите цифровых прав Access, как минимум 9 телекоммуникационных компаний по всему миру используют так называемые супер cookie-файлы для ведения контроля за online-действиями граждан.

    18 августа 2015 | Windows 10 отправляет данные Microsoft даже в случае отключения определенных функций.

    ОС отправляет данные на серверы Microsoft, даже если деактивировать Cortana и поиск в интернете.

    Как сообщают эксперты издания ARS Technica, Windows 10 отсылает информацию пользователей на серверы Microsoft даже в случае отключения функций, связанных со сбором и хранением персональных данных.

     

     
         
    Новости | Вирусы | Уязвимости | Статьи | Партнеры | Форум | Контакты
    Rambler's Top100 Яндекс цитирования Каталог HeadNet.Ru Faststart - рейтинг сайтов, каталог интернет ресурсов, счетчик посещаемости Catalyse.ru Рейтинг@Mail.ru