Люблю я громкие слова =) Иногда =)
А расскажу я про четверг 3-е июня. В среду нам позвонил клиент и сообщил, что у них очень сильно тормозят компьютеры, в частности два, не работает сеть и вообще все плохо. Договорились на то, что с утра в четверг мы прибудем и разберемся.
Приезжаем вдвоем, я - для разборки с вирусами, а коллега - для разборок с ЛВС.
Сажусь за первый проблемный компьютер, смотрю в диспетчер задач, там висит процесс «userini.exe», который кушает аж 50% оперативной памяти. Неудивительно, что у них там все тормозит. Ну ладно, убила я его в процессах, нашла наглого в папке WINDOWS/system32, где он был жестоко ликвидирован с помощью Shift+Del. Также моей безжалостной рукой были убит файл под именем «userinit.exe» Не, вы не волнуйтесь, систему мы потом восстановили, но в тот момент меня охватила паника, когда просто перестала происходить авторизация! При входе в систему даже в безопасном режиме под другим пользователем! Хорошо, у коллеги был с собой Windows LiveCD, перетащив эту програмулину с другого компьютера, мы смогли войти в систему. И началось сканирование... Долгое и мучительное параллельное сканирование пяти компьютеров, потому что остальные не подавали жизненных признаков или были временно недоступны нашей спасительной операции
А коллега тем временем решил посмотреть, что же там у нас такого с сетью. Ситуация просто анекдотичная: они выключили Switch, когда им было говорено, что эту полезную коробочку не выключать даже во время ядерной бомбежки или не видать вам Интернета как ушей своих Видимо, они решили включать его только по праздникам Так что с ЛВС мы быстро расправились. Оставались вирусы...
В принципе, картина на всех компьютерах была схожая, если не сказать одинаковая. Рекорд по счетчикам все-таки принадлежит секретарю: 324 зараженных файла. У заведующей результат скромнее - 112 предупреждений. О самих вирусах читайте ниже.
читать дальшеВсе пойманные ими вирусы относятся к группе так называемых «троянских коней»:
«Trojan.» - общее название для различных Троянских коней (Троянцев)
«Backdoor.» - вирусная троянская программа, которая содержит в себе RAT-функцию (RAT - Remote Administration Tool - утилита удаленного администрирования).
А по одному показателю их даже можно поздравить: они словили лидера в пятерке самых популярных вирусов
Trojan.DownLoad1.58681 - 24.47%
Win32.HLLM.MyDoom.54464 - 22.63%
Trojan.Winlock.1651 - 13.65%
Trojan.Oficla.45 - 5.02%
Trojan.Oficla.38 - 4.38%
Чаще всего нам попадался троян по имени Trojan.Packed
Тип вируса: Специальная запись, позволяющая детектировать широкий спекр вредоносных программ, в которых используется определённый тип упаковщика. Чаще всего данный тип вредоносной программы распространяет BackDoor.Groan
Источник: vms.drweb.com/virus/?i=157409
Чуть реже нам попадался BackDoor.Gootkit
Тип вируса: Вредоносная программа для несанкционированного доступа к ресурсам зараженного компьютера.
Уязвимые ОС: Windows NT based
Вредооносная программа является многокомпонентной:
Загрузчик
Компонент предназначен для загрузки и установки уникального для данной системы драйвера режима ядра. Уникальность его заключается в ключе расшифровки, с помощью которого расшифровывается основная часть кода драйвера, как это происходит у Win32.Ntldrbot). Этот ключ формируется на основе информации об оборудовании зараженной машины. Полученный 16-байтный ключ отправляется на сервер с помощью запроса:
heathe***c:3128/h725e1361fd6ac35b320730d082e40f38,
в ответ, на который и приходит специально зашифрованный файл, уникальный для данной системы. Сам загрузчик удаляется после успешного выполнения. В качестве имени файла для драйвера берется произвольная строка из 7 символов, например:
"\System32\drivers\sdg29f4.sys".
Драйвер
Это единственный исполняемый файл, который остается физически на диске после заражения системы. Он имеет жесткую привязку к оборудованию зараженного компьютера и служит для скачивания и запуска основного модуля бэкдора. Программный код, реализующий загрузку, внедряется в процесс "explorer.exe", а сам загруженный файл запускается в виде процесса с именем "svchost.exe". Для того чтобы скачать файл, формируется строка из произвольных 32-х шестнадцатеричных символов, которая отсылается на сервер запросом:
heathe***c:3128/be49a8c072f2bb0c2853d6108c0ab3efa7.
В ответ приходит исполняемый файл, зашифрованный алгоритмом RC4, ключом для расшифровки которого и является отправленная до этого произвольная строка. В некоторых версиях в драйвере применяются руткит-технологии: защита от изменения и удаления своей ветки реестра и файла на жестком диске, блокирование сетевого трафика у процессов со следующими именами:
kav.exe
nod32.exe
AVPCC.EXE
spiderui.exe
spideragent.exe
spidernt.exe
dwengine.exe
av2009.exe
nod32krn.exe
ekrn.exe
egui.exe
Основной модуль
Модуль предназначен для выполнения различных команд от управляющего сервера, таких как загрузка и запуск исполняемого файла, посещение сайтов, DDoS и т.д. При выполнении некоторых из них устанавливает специальный драйвер для работы с сетью. Остальные команды, полученные от управляющего сервера, выполняются в процессе с именем "svchost.exe".
Источник: vms.drweb.com/virus/?i=441454
По остальным информация отсутствует. Все было излечено с помощью бесплатных утилит DrWeb.CureIT и avz4. Вся информация по вирусам взята с сайта www.drweb.ru