Отправляет email-рассылки с помощью сервиса Sendsay

IT-безопасность в быту и не только

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Безопасность. Статьи, новости, комментарии" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Январь 2007   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
12.01.2007
00:55:06
07:05:13
13
14
15
15.01.2007
05:15:29
14:05:25
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
Автор
Forester

Статистика

1.394 подписчиков
-1 за неделю
←   Все выпуски   →

Компьютер для продвинутых пользоватлей Выпус по вирусам.


Компьютер для продвинутых пользователей
В этом выпуске:
Trojan-Clicker.Win32. Glocker.a | Trojan-Spy.Win32. Dks.12.b | Backdoor.Win32. Hupigon.bns | Trojan-Spy.Win32. Dks.13.a | Virus.Win32. Saburex.a
Trojan-Clicker.Win32. Glocker.a

Троянская программа, открывающая различные URL без ведома пользователя. Является приложением Windows (PE EXE-файл). Имеет размер 28672 байт. Написана на Visual Basic.

Деструктивная активность
Троянец запускает процесс IEXPLORE.EXE и открывает в нем следующие ссылки:
http://www.teenager*****.com/join.....
http://www.japper*****.com/join.....
http://www2.teenicu*****.com/cgi/click.....
http://www.teenager******.com/join.....
http://www.japper*****.com/join.....

Другие названия
Trojan-Clicker.Win32.Glocker.a («Лаборатория Касперского») также известен как: TrojanClicker.Win32.Glocker.a («Лаборатория Касперского»), AdClicker (McAfee), Trojan Horse (Symantec), Trojan.AddClick (Doctor Web), Troj/AdClicke (Sophos), TrojanClicker:Win32/Glocker (RAV), TROJ_GLOCKER.A (Trend Micro), TR/Click.Glocker.a (H+BEDV), Win32:Trojan-gen. (ALWIL), Trojan.Win32.Glocker (SOFTWIN), Trojan.Clicker.Glocker (ClamAV), Trj/Glocker (Panda), Win32/TrojanClicker.Glocker.A (Eset)
Trojan-Spy.Win32. Dks.12.b

Троянская программа — клавиатурный шпион. Является приложением Windows (PE EXE-файл). Написана на Visual C++. Размер файла — 13824 байта.

Инсталляция
После запуска троянец копирует себя в системный каталог Windows с именем systemks.exe:
%System%\systemks.exe
После чего регистрирует себя в ключе автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"systemks"="systemks.exe"
Т.е. при каждой следующей загрузке Windows автоматически запустит файл троянца.
Также троянец создает в системном каталоге Windows файл с именем systemks.dll (9728 байт):
%System%\systemks.dll
Данный файл используется для перехвата сообщений от клавиатуры и записи их в файл журнала.
Также троянец отслеживает свой повторный запуск при помощи поиска окна с заголовком «systemks».

Деструктивная активность
Троянец перехватывает сообщения от клавиатуры, определяет язык ввода, следит за операциями над окнами, после чего записывает собранную информацию в следующий файл:
%System%\kslog.txt

Другие названия
Trojan-Spy.Win32.Dks.12.b («Лаборатория Касперского») также известен как: TrojanSpy.Win32.DKS.12.b («Лаборатория Касперского»), Keylog-Dks (McAfee), Keylogger.Trojan (Symantec), Trojan.Dks.12 (Doctor Web), Troj/KeySpy-DKS (Sophos), TrojanSpy:Win32/Dks.1_2.B (RAV), Win32:Trojan-gen. (ALWIL), Trojan.Spy.Dks.1.2.B (SOFTWIN), Trj/Spy.Dks.12.B (Panda), Win32/Spy.Dks.12.B (Eset)
Backdoor.Win32. Hupigon.bns

Бэкдор, позволяющий злоумышленнику удаленно получить полный доступ к компьютеру пользователя. Программа является библиотекой Windows (DLL-файл). Размер зараженный файлов значительно варьируется.

Инсталляция
Данный бэкдор инсталлируется в систему при помощи другой вредоносной программы.
При загрузке бэкдор извлекает из ресурсов своего исполняемого файла библиотеку DLL и сохраняет её в корневом каталоге Windows: %WinDir%\G_Server2006Key.DLL
Данная библиотека определяется Антивирусом Касперского как Backdoor.Win32.Hupigon.bxb.

Деструктивная активность
Бэкдор имеет следующие функции:
* полный доступ к файлам на жестком диске;
* полный доступ к общим ресурсам локальной сети пользователя;
* полный доступ к системному реестру;
* загрузка из интернета файлов на компьютер пользователя и их запуск;
* удаленный командный терминал;
* получение информации о системе пользователя;
* полный доступ к рабочему столу пользователя и перехват управления.

Другие названия
Backdoor.Win32.Hupigon.bns («Лаборатория Касперского») также известен как: BackDoor-AWQ (McAfee), BackDoor.Pigeon.99 (Doctor Web), Troj/Feutel-AC (Sophos), BDS/Hupigon.MT (H+BEDV), BackDoor.Generic.SRR (Grisoft), Backdoor.Hupigon.E (SOFTWIN), Win32/Hupigon (Eset)
Trojan-Spy.Win32. Dks.13.a
Троянская программа — клавиатурный шпион. Является приложением Windows (PE EXE-файл). Написана на Visual C++. Размер файла — 6656 байт. Упакован при помощи UPX. Размер распакованного файла — около 27 КБ.

Инсталляция
После запуска троянец копирует себя в системный каталог Windows с именем SYSTEMKS.EXE:
%System%\SYSTEMKS.EXE
Также троянец создает в системном каталоге Windows файл с именем systemks.dll (5120 байт):
%System%\systemks.dll
Данный файл используется для перехвата сообщений от клавиатуры и записи их в файл журнала.
Также троянец создает в системном каталоге Windows файл с именем sysadks.dll (3072 байта):
%System%\sysadks.dll
И прописывает себя в системном реестре:
[HKCR\CLSID\<произвольный сгенерированный номер>\InProcServer32]
"default"="sysadks.dll"
[HKLM\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"sysadks"="<произвольный сгенерированный номер>"
Также троянец отслеживает свой повторный запуск при помощи поиска окна с заголовком «systemks».

Деструктивная активность
Троянец перехватывает сообщения от клавиатуры, определяет «язык ввода», следит за операциями над окнами, после чего записывает собранную информацию в следующий файл:
%System%\kslog.dat

Другие названия
Trojan-Spy.Win32.Dks.13.a («Лаборатория Касперского») также известен как: TrojanSpy.Win32.DKS.13.a («Лаборатория Касперского»), Keylog-Dks (McAfee), Keylogger.Trojan (Symantec), Troj/DKS13-A (Sophos), TrojanSpy:Win32/Dks.13.A (RAV), TROJ_DKS.A (Trend Micro), TR/DKS.13.a (H+BEDV), Trojan.Spy.DKS.1.3.A (SOFTWIN), Trojan Horse.LC (Panda), Win32/Spy.Dks.13.A (Eset)
Virus.Win32. Saburex.a

Файловый вирус, заражающий исполняемые файлы Windows. Является библиотекой Windows DLL, имеет размер 17 920 байт.

Инсталляция
После запуска вирус копирует свой исполняемый файл в системный каталог Windows:
%System%\ole16.dll
После чего изменяет значения следующих параметров ключей реестра на:
[HKCR\CLSID\{00021401-0000-0000-C000-000000000046}\InProcServer32]
@ = "ole16.dll"
ThreadingModel="both"
[HKLM\SOFTWARE\Classes\CLSID\{00021401-0000-0000-C000-000000000046}\InProcServer32]
@ = "ole16.dll"
ThreadingModel="both"

Деструктивная активность
Вирус заражает файлы с расширением .exe на случайно выбранном разделе жесткого диска. Вирус не заражает файлы в папках, имена которых содержат следующие строки:
program files
documents and
_restore
music
При заражении вирус упаковывает тело заражаемого файла в архив CAB, после чего копирует свое тело поверх тела заражаемого файла, а упакованное тело последнего дописывает в конец. Точка входа в вирус и его заголовок при этом корректируется таким образом, что зараженный файл становится приложением Windows (PE-EXE файл) и является запускаемым.
При запуске зараженного файла тело вируса выделяется и корректируется в библиотеку DLL и в таком виде сохраняется во временную папку Windows с временным именем. После этого запускается процесс : rundll32 %Temp%\<временное имя DLL-файла>,a <путь и имя запущенного файла>
После этого вирусный компонент удаляет свое тело из зараженного файла и распаковывает запакованное в CAB архив тело программы, тем самым полностью восстанавливает его в исходное состояние и запускает.
Вирус извлекает во временную папку с временным именем библиотеку DLL (размер 7168 байт). Также просматривает все окна на рабочем столе пользователя и внедряет в процессы, которым принадлежат эти окна, извлеченную DLL.
Извлеченная библиотека DLL будучи подгруженной к какому-либо процессу периодически делает скриншоты активного окна в системе, после чего шифрует их и публикует на сайте x***e.ru.
Не забудьте проголосовать за выпуск!
Рассылка создана и ведется при поддержке Информационной сети Пермского края.
Меня можно найти: ICQ - 273214003

e-mail - isdmi1::mail.ru
В избранное