Перейти к содержанию
Danilka

Настойчивый троян прячет файлы установки в справке Windows

Recommended Posts

Danilka

Эксперты по компьютерной безопасности засекли новое вредоносное приложение, которое размещает копию самого себя в файл справки Windows, что позволяет ему повторно заражать компьютеры жертв даже после их лечения.

Троян, получивший от антивирусной лаборатории McAfee обозначение Muster.e, поражает файл Windows, имеющий название imepaden.hlp, в котором он до поры до времени хранит зашифрованные копии своих основных компонентов. В случае если действующая копия трояна удаляется антивирусными средствами, работающий в качестве службы Windows установщик компилирует спрятанные компоненты в исполняемый файл upgraderUI.exe и запускает его.

Этот метод позволяет вирусу восстанавливать работоспособность даже после того, как большая часть его компонентов удалена с компьютера, а пользователи зачастую просто не в состоянии понять, почему их ПК постоянно инфицируется одним и тем же трояном.

Впрочем, это неудивительно – необычность Muster.e признали даже обнаружившие его исследователи, сообщившие, что ранее ни с чем подобным не сталкивались. Более полное описание вируса доступно http://www.avertlabs.com/research/blog/ind...-on-help-files/

http://virusinfo.info

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Hiss
В случае если действующая копия трояна удаляется антивирусными средствами, работающий в качестве службы Windows установщик компилирует спрятанные компоненты в исполняемый файл upgraderUI.exe и запускает его.

"Чих" тоже умел хвосты оставлять, что здесь нового?

Чей установщик работает как служба, это кусок вируса или файл Windows? ИМХО несложно научить антивирус останавливать или удалять этот установщик.

imepaden.hlp, что это за файл? У меня на Windows 7 такого файла нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

На Vista+ вообще *.hlp не поддерживаются.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Эксперты по компьютерной безопасности засекли новое вредоносное приложение, которое размещает копию самого себя в файл справки Windows, что позволяет ему повторно заражать компьютеры жертв даже после их лечения.

Примерно похожий случай:

634ae7f6f8e3.jpg

Зловред сменил атрибут системных файлов из папки Help на скрытый. VRT вылечил, но не смог сменить атрибут. Даже после перезагрузки ручная смена атрибутов файлов оказалась невозможной. Пришлось заменить их из бекапа.

Результат заражения и лечения см. на скрине в п. 1) и п. 2) вот этого поста.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Hiss
На Vista+ вообще *.hlp не поддерживаются.

В Windows XP SP 3 тоже нет файла imepaden.hlp.

Так что мы здесь обговариваем?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Так что мы здесь обговариваем?

Исходя из изложенного можно предположить, что этот файл не для русской версии Windows.

Но он как бы должен быть в C:\WINDOWS\ime\shared\

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • illusionist
      Приветствую ребята! TrustZone процессоров - что это? Поподробнее пожалуйста, то что это разграничение системных процессов от различных приложений(песочницы) это понятно.  На каких процессорах и устройствах можно встретить?  
    • artellie
      Направления: Лепной декор, Натяжные потолки,  Светодиодное освещение, Гипсовые 3D панели,  Мебель на заказ и изделия из искусственного камня,  Клинкерный камень, Краска и декоративная штукотурка Напольные покрытия, Двери, Художественный паркет,  Керамогранит, Мозаика, Плитка, Стеновые панели Шпон/массив   г. Москва, 22-ой км. Киевского шоссе, стр.2, Корпус Г, Вход 12Г или Вход 13Г, павильон 106Г Режим работы: Пн - Вс (с 10 до 21 часа) www.artellie.ru    
    • Quinzy
      И слава Богу . И желаю вам его и в дальнейшем избегать. А у меня был негативный опыт. Заказал для подруги цветы в одной конторе, так привезли веник, лепестки у роз осыпались прям на лету. Мне потом стыдно в глаза было смотреть человеку. Отработали плохо одни, а стыдно мне.) Больше в той доставке ничего никогда не закажу. А вот доставка цветов в Уфе https://bflorist.ru/russia/bash-dostavka-cvetov/ufa всегда радовала. Цветы такие, будто у них своя оранжерея и при поступлении заказа они идут  срезают свежие цветочки. Мне прям звонят и благодарят в истерической радости получатели, как правило очень близкие мне люди.
    • Alushaa
      По рекомендации знакомого оформил займ на сайте займы.рф. Удивило то, что запрашивается минимум информации, заполнение анкеты занимает не больше 5 минут.  Зато деньги можно получить прямо на карту, это действительно удобно и даже из дома выходить не надо, так что мне кажется, вам бы такой вариант уж точно подошел, но тут вам стоит все посмотреть самим и обратиться.
    • Alushaa
      Если уж брать, то стоит вам присмотреться к акриловым ваннам https://shower5.ru/collection/aklilovye-vanny  Очень неплохой вариант, который точно стоит своих денег, поэтому вам стоит присмотреться, возможно это именно то что вам нужно, да и доставка у них так же есть, что круто скажу я вам
×