Перейти к содержанию
AM_Bot

Новый Троянец-загрузчик научился работать с файловой системой NTFS

Recommended Posts

AM_Bot

26 июля 2012 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает пользователей о распространении троянский программы Trojan.Yaryar.1. Одна из характерных особенностей данного троянца-загрузчика заключается в том, что он умеет работать непосредственно со структурами NTFS, а также обладает обширным функционалом по выявлению средств отладки и анализа.

Механизм распространения этого троянца пока до конца не исследован, зато изучен алгоритм его поведения в инфицированной системе. Вредоносная программа состоит из двух модулей: дроппера и загрузчика, оба компонента написаны на языке С++. Отличительной особенностью Trojan.Yaryar.1, выделяющей его в ряду других троянцев-загрузчиков, является то, что он обладает собственным алгоритмом работы со структурами файловой системы NTFS. Дроппер сохраняет загрузчик на диск в виде динамической библиотеки со случайным именем, после чего пытается загрузить ее с использованием библиотеки cryptsvc.dll, в которую предварительно внедряет специальный двоичный исполняемый код.

Троянец Trojan.Yaryar.1 обладает мощным функционалом по выявлению средств отладки и анализа, и в случае обнаружения таковых удаляет себя с инфицированного компьютера. После запуска троянец пытается получить в системе привилегии отладчика и внедриться в процесс spoolsv.exe. Затем Trojan.Yaryar.1 отключает Службу безопасности Windows, Службу автоматического обновления и Брандмауэр Windows, после чего устанавливает соединение с удаленными серверами для выполнения загрузки и запуска на зараженном компьютере других файлов.

Сигнатура этой угрозы добавлена в антивирусные базы Dr.Web, однако данный троянец может представлять опасность для пользователей, игнорирующих необходимость установки на своих ПК современных антивирусных программ.

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Dropper:

SHA1: c13e605492dca318579c981734ea8510eb2aed37

MD5: 96406b407c3b7d6c6cc21b947ab22c39

payload:

SHA1: d420e68504198923fd69911967850860adebfcc7

MD5: 819463ed3de00f977146587def9f4150

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
    • PR55.RP55
      Предлагаю автоматически ( при формировании скрипта  ) удалять  идентичные расширения браузеров по ID т.е. удаляем расширение из одного браузера = автоматически  удаляем это расширение из всех браузеров. https://www.comss.ru/page.php?id=12970 --------------- Возможно в Категориях по браузерам стоит собирать\ консолидировать все доступные данные по этому браузеру. т.е. не только данные о расширениях, но и назначенные задания; все подписанные или не подписанные файлы; Все файлы _которые есть в каталогах браузеров_; скрипты; ярлыки; групповые политики; сетевая активность и т.д.    
    • PR55.RP55
      Сделать чтобы start.exe  мог запускаться как firefox.exe; opera.exe и т.д. т.е. чтобы отслеживал в этом режиме перехват; внедрение и т.д. Пример: Есть проблема с отображением рекламы; накрукта роликов на youtube и т.д. в браузерах. И нам нужно видеть именно то, что реагирует на запуск браузеров. * При работе в данном режиме предварительно выгружать все браузеры.    
    • PR55.RP55
      По расширениям. Пример: Человек обращается за помощью - говорит, что в браузерах реклама, он все расширения отключал\удалял но это не помогло.  Да... но пользователь в браузере видит только часть расширений. Хотелось бы в Инфо. иметь информацию о статусе расширения - видит его пользователь или оно от него скрыто.
×