Войти в аккаунт
Хотите наслаждаться полной версией, а также получить неограниченный доступ ко всем материалам?
Заявка на добавление в друзья

Один из новых троянцев блокирует Windows и удаляет все антивирусы.

674 1 6

Trojan.VkBase.1

Вредоносная программа распространяется с вредоносного сайта в домене .ru, под видом архивов с личной информацией, принадлежащей пользователям социальной сети ВКонтакте.

Скачиваемый файл является исполняемым exe-файлом, который формируется на вредоносном сайте динамически в зависимости от параметров поиска, которые ввёл пользователь.

При запуске троянца (исполняемый файл запускается без параметров) выводится окно, внешне напоминающее интерфейс Проводника Windows с содержащимися необходимыми приватными сведениями.

Затем программа устанавливает себя в систему в качестве сервиса с именем zipdrivers. После этого созданный сервис запускается и производит поиск установленных в системе антивирусных продуктов. Если был найден один из антивирусных продуктов Dr.Web для Windows, то с вредоносного интернет-сервера скачивается дополнительный модуль, определяемый Dr.Web как Trojan.AVKill.2942.

Далее производится презагрузка компьютера в безопасный режим Windows и удаление из системы антивирусных программ следующих производителей:

 

  • AGAVA
  • avast
  • Avira
  • Agnitum
  • Comodo
  • Dr.Web
  • ESET
  • Kaspersky
  • McAfee
  • Symantec
  •  

    Для перезагрузки системы в безопасном режиме Trojan.VkBase.1 редактирует системный файл boot.ini, для Windows Vista и более поздних версий Windows используется системная утилита BCDEdit. В результате этих действий к параметрам загрузки системы добавляется параметр /safeboot:network, что соответствует запуску системы в Безопасном режиме с поддержкой сети.

    Для запуска сервиса троянца в Безопасном режиме Windows, в системном реестре создаётся следующая запись:

    HKLM\System\CurrentControlSet\Control\SafeBoot\Network\zipdrivers

    После загрузки системы в Безопасном режиме сервис вредоносной программы автоматически стартует и удаляет установленный в системе антивирус.

    Для удаления из системы продуктов Dr.Web для Windows используется дополнительно загружаемый модуль, эксплуатирующий уязвимость модуля самозащиты, который определяется Dr.Web как Trojan.AVKill.2942, т.к. самозащита в продуктах Dr.Web для Windows функционирует и в Безопасном режиме Windows. В настоящее время данная уязвимость в продуктах Dr.Web для Windows устранена. Для удаления остальных антивирусных продуктов из системы дополнительные модули троянцу не требуются.

    Далее троянец отключает сервис контроля учётных записей пользователей (UAC), а также вносит настройки в работу системы, которые позволят впоследствии троянцу запускать исполняемые файлы, загружаемые из Интернета, без уведомления пользователя.

    Кроме того, программа создаёт свою копию в файле \WINDOWS\TEMP\tray_tmp.exe и дополнительно устанавливает себя на запуск (помимо сервера) в ветке системного реестра: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

    После этого параметры загрузки системы возвращаются в исходное состояние, и система перезагружается в обычном режиме, и загружает далее с вредоносного сервера два исполняемых файла, которые по классификации Dr.Web именуются как Trojan.Winlock.2477 и Trojan.Fakealert.19448. Последний загружается лишь в том случае, если удаление установленного в системе антивируса завершилось успешно.

    Trojan.Winlock.2477 записывается в каталог Windows под именем win32boot.exe, после чего запускается.

    Trojan.Fakealert.19448 записывается в каталог Windows под именем av_soft.exe, после чего также запускается.

    Файл tray_tmp.exe после всех этих действий остаётся в системной папке и продолжает запускаться. При этом сервис zipdrivers также продолжает запускаться, хотя и остаётся неактивным. При своём запуске tray_tmp.exe проверяет наличие файла, соответствующего Trojan.Winlock.2477 и в случае его отсутствия снова загружает с сервера и вновь запускает.

    {{ rating.votes_against }} {{ rating.rating }} {{ rating.votes_for }}

    Комментировать

    осталось 1800 символов
    Свернуть комментарии

    Все комментарии (1)

    Svyatoslav Lebedev

    комментирует материал 31.03.2011 #

    Комментарий удален модератором Newsland

    no avatar
    ×
    Заявите о себе всем пользователям Макспарка!

    Заказав эту услугу, Вас смогут все увидеть в блоке "Макспаркеры рекомендуют" - тем самым Вы быстро найдете новых друзей, единомышленников, читателей, партнеров.

    Оплата данного размещения производится при помощи Ставок. Каждая купленная ставка позволяет на 1 час разместить рекламу в специальном блоке в правой колонке. В блок попадают три объявления с наибольшим количеством неизрасходованных ставок. По истечении периода в 1 час показа объявления, у него списывается 1 ставка.

    Сейчас для мгновенного попадания в этот блок нужно купить 1 ставку.

    Цена 10.00 MP
    Цена 40.00 MP
    Цена 70.00 MP
    Цена 120.00 MP
    Оплата

    К оплате 10.00 MP. У вас на счете 0 MP. Пополнить счет

    Войти как пользователь
    email
    {{ err }}
    Password
    {{ err }}
    captcha
    {{ err }}
    Обычная pегистрация

    Зарегистрированы в Newsland или Maxpark? Войти

    email
    {{ errors.email_error }}
    password
    {{ errors.password_error }}
    password
    {{ errors.confirm_password_error }}
    {{ errors.first_name_error }}
    {{ errors.last_name_error }}
    {{ errors.sex_error }}
    {{ errors.birth_date_error }}
    {{ errors.agree_to_terms_error }}
    Восстановление пароля
    email
    {{ errors.email }}
    Восстановление пароля
    Выбор аккаунта

    Указанные регистрационные данные повторяются на сайтах Newsland.com и Maxpark.com

    Перейти на мобильную версию newsland