Перейти к содержанию
AM_Bot

Новый Троянец-загрузчик научился работать с файловой системой NTFS

Recommended Posts

AM_Bot

26 июля 2012 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает пользователей о распространении троянский программы Trojan.Yaryar.1. Одна из характерных особенностей данного троянца-загрузчика заключается в том, что он умеет работать непосредственно со структурами NTFS, а также обладает обширным функционалом по выявлению средств отладки и анализа.

Механизм распространения этого троянца пока до конца не исследован, зато изучен алгоритм его поведения в инфицированной системе. Вредоносная программа состоит из двух модулей: дроппера и загрузчика, оба компонента написаны на языке С++. Отличительной особенностью Trojan.Yaryar.1, выделяющей его в ряду других троянцев-загрузчиков, является то, что он обладает собственным алгоритмом работы со структурами файловой системы NTFS. Дроппер сохраняет загрузчик на диск в виде динамической библиотеки со случайным именем, после чего пытается загрузить ее с использованием библиотеки cryptsvc.dll, в которую предварительно внедряет специальный двоичный исполняемый код.

Троянец Trojan.Yaryar.1 обладает мощным функционалом по выявлению средств отладки и анализа, и в случае обнаружения таковых удаляет себя с инфицированного компьютера. После запуска троянец пытается получить в системе привилегии отладчика и внедриться в процесс spoolsv.exe. Затем Trojan.Yaryar.1 отключает Службу безопасности Windows, Службу автоматического обновления и Брандмауэр Windows, после чего устанавливает соединение с удаленными серверами для выполнения загрузки и запуска на зараженном компьютере других файлов.

Сигнатура этой угрозы добавлена в антивирусные базы Dr.Web, однако данный троянец может представлять опасность для пользователей, игнорирующих необходимость установки на своих ПК современных антивирусных программ.

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Dropper:

SHA1: c13e605492dca318579c981734ea8510eb2aed37

MD5: 96406b407c3b7d6c6cc21b947ab22c39

payload:

SHA1: d420e68504198923fd69911967850860adebfcc7

MD5: 819463ed3de00f977146587def9f4150

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Vvvyg
    • akoK
      А обсуждение еще живое или форум по UVS переехал?
    • PR55.RP55
      Тема:  https://forum.esetnod32.ru/messages/forum3/topic16196/message111006/#message111006 Как видно применён твик: № 18 В итоге по логу FRST видим: HKLM\...\Policies\Explorer: [DisallowRun] 0
      HKLM\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-19\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-19\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-20\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-20\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-21-1616146017-2463400075-1735324224-1000\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-21-1616146017-2463400075-1735324224-1000\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-18\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-18\...\Policies\Explorer: [RestrictRun] 0 т.е. мало того, что от uVS   на данный момент БЕСПОЛЕЗЕН так ещё и создаются параметры которых  НЕ было изначально. т.е. мусор. uVS не проверяет - есть там, что, или нет. Просто вносит\добавляет свои записи. Почему uVS Бесполезен ? Достаточно посмотреть темы - на любом форуме. Антивирусы\сканеры, как правило, ещё до применения таких программ как: FRST; uVS и т.д. зачищают угрозы. Остаются внесённые в систему изменения: Правила\запреты; Папки\Каталоги; Сетевые Параметры и т.д. Какова роль uVS  ? 
    • PR55.RP55
      Пока форум не работал по ошибкам, предложениям, замечаниям публиковал здесь: https://forum.esetnod32.ru/forum8/topic15904/?PAGEN_1=5 ------------ ------------
      Образ в теме:  https://forum.esetnod32.ru/messages/forum6/topic16189/message110932/#message110932    
    • santy
      Форум открыт для доступа и комментариев и предложений. Можно продолжить по  работе с uVS здесь.
×