Описание работы вируса Trojan.Win32. Qhost.oyj

Троянская программа, блокирующая доступ к Интернет ресурсам. Является приложением Windows (PE-EXE файл). Имеет размер 233472 байта. Написана на C++.

Деструктивная активность

Данная троянская программа извлекается и запускается на исполнение другой вредоносной программой, детектирующейся антивирусом Касперского как Trojan.Win32.Qhost.oyk.
В зависимости от параметра, с которым был запущен, троянец может выполнять следующие действия:

• Если имя параметра было "-restore": Не позволяет удалить свой файл. Останавливает работу службы с именем "srv32", после чего запускает на исполнение свое тело с параметром "-start".
• Если имя параметра было "-service": Вызывает функцию "StartServiceCtrlDispatcher" для установки связи главного потока процесса службы "srv32" с диспетчером управления службами.
• Если имя параметра было "-start": Запускает службу с именем "srv32". Служба предназначена для завершения и блокировки запуска следующих процессов:
  

  ta_skmgr.exe
  Tas_kmgr.exe
  regedit.exe
  Regedit.exe
  rstrui.exe
  Rstrui.exe
  msconfig.exe
  Msconfig.exe
  MSConfig.exe
  MSCONFIG.EXE
  apache.exe
  nginx.exe
  lighthttpd.exe
  

  Таким образом троянец блокирует запуск:
  1. приложения восстановления системы;
  2. утилиты для управления автозапуском программ и загрузкой Windows;
  3. программы для просмотра и редактирования реестра;
  4. процессов веб-серверов "Apache", "lighttpd" и "nginx".
  При этом имя процесса "Диспетчера задач Windows" указано с ошибкой —"ta_skmgr.exe". Троянец поднимает на зараженной машине веб-сервер. Таким образом при обращении к зараженной машине пользователь увидит следующее окно:
  
  
  Где предлагается отправить SMS с текстом "503745002411" на короткий номер "6681".
  Поскольку троянец, извлекающий данную вредоносную программу, модифицировал файл "hosts":
  

  %System%\drivers\etc\hosts

  то пользователь также будет видеть окно с предложением отправить SMS при обращении к следующим ресурсам:

  vkontakte.com
  www.vkontakte.ru
  www.odnoklassniki.ru
  livejournal.com
  yahoo.com
  mail.ru
  www.yandex.com
  facebook.ru
  www.rambler.ru
  yandex.com
  aport.ru
  vk.com
  www.habrahabr.ru
  www.vkontakte.com
  www.odnoklassniki.com
  www.lj.ru
  www.google.com
  google.com
  facebook.com
  bing.com
  www.mail.ru
  www.vk.com
  www.facebook.ru
  vkontakte.ru
  www.facebook.com
  www.bash.org.ru
  www.aport.ru
  www.bing.com
  odnoklassniki.com
  rambler.ru
  fishki.net
  odnoklassniki.ru
  www.qip.ru
  livejournal.ru
  www.livejournal.com
  yandex.ru
  habrahabr.ru
  www.livejournal.ru
  www.yahoo.com
  www.fishki.net
  www.yandex.ru
  bash.org.ru
  www.google.ru
  

  Помимо этого служба препятствует изменению оригинального тела троянца, а также файла "hosts":

  %System%\drivers\etc\hosts

  Таким образом противодействуя попыткам пользователя или антивирусной программы при восстановлении полноценной работы системы.
• Если имя параметра было "-stop": Останавливает выполнение службы с именем "srv32".
• Если имя параметра было "-install": Создает службу с именем "srv32" при этом в реестр добавляется следующая информация:

  [HKLM\SYSTEM\CurrentControlSet\Services\srv32]
  "Type" = "10"
  "Start" = "2"
  "ErrorControl" = "1"
  "ImagePath" = "<путь к оригинальному телу троянца> -
  service"
  "DisplayName"="Network Responder Service"
  "ObjectName"="LocalSystem"
  "Description"="Provides network traffic transformation, 
  addressing, name resolution and/or intrusion prevention 
  services for a home or small office network."
  

  Таким образом служба троянца будет запускаться при каждом следующем старте системы.
• Если имя параметра было "uninstall": Удаляет тело троянца и удаляет службу с именем "srv32".

Источник: securitylab.ru

Описание работы вируса Trojan-Downloader. WMA.GetCodec.ae

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является видео-файлом в формате WMV. Имеет размер 4185879 байт.

Деструктивная активность

Троянец использует реализованную в проигрывателе Windows Media возможность встраивания в поток видео команды сценария "URLAndExit". Это позволяет во время воспроизведения потока загружать из сети Интернет файл под видом необходимого кодека для Windows Media Player. Загрузка файла выполняется по следующей URL:

http://my.div***dec.com?r=wmp&title=a

Загруженный файл сохраняется в каталоге "%Temporary Internet Files%". На момент создания описания загружался CAB-архив, размером 472074 байта, содержащий следующие файлы:

wvc1dmod.dll (1184984 байта)
wvc1dmo.inf (1516 байт)

Источник: securitylab.ru

Выпуск программных продуктов Dr.Web 6.0 для Unix

2 декабря 2010 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — сообщает о выпуске шестой версии программных продуктов Dr.Web для Unix. Большая часть изменений затронула Dr.Web для почтовых серверов Unix, в котором был реализован целый ряд новых возможностей, усиливающих защиту почты и упрощающих ее администрирование. Также были улучшены продукты Dr.Web для файловых серверов и интернет-шлюзов Unix.

Надежность и масштабируемость Dr.Web 6.0 для почтовых серверов Unix была усилена за счет реализации балансировки нагрузки между несколькими антивирусными демонами, расположенными на разных хостах.

Были добавлены параметры, ограничивающие общее число и максимальную вложенность mime-частей в письме. Для почтовых серверов Postfix и Sendmail добавлена поддержка широко используемого протокола Milter версии 6.

Реализована проверка писем, передающихся с использованием протоколов POP3, POP3s, IMAP и IMAPs. Вместе с тем в продукте реализована технология репутационного IP-фильтра, который позволяет временно блокировать IP-адрес в случае если статистика говорит о его сомнительной репутации. Был изменен формат карантина; в то же время добавлена возможность ограничивать хранение подозрительных объектов не только по времени, но и по их размеру и/или количеству.

Появилась возможность объединять счет от антиспама с результатами проверки другими компонентами системы — теперь на вынесение вердикта «спам» влияет не только модуль антиспама, но и такие компоненты как SMTP-сервер и антивирус. Это позволяет повысить эффективность борьбы с почтовым «мусором».

Письма (а также ответы на них), которые были посланы с компьютера, входящего в ProtectedNetwork и могут классифицироваться как нежелательные, теперь при необходимости не помечаются как спам.

Часть изменений в Dr.Web для почтовых серверов Unix коснулась удобства администрирования защиты. Так, были значительно расширены возможности управления продуктом с использованием командной строки. Добавлен ряд настроек, касающихся статистики: теперь отчеты о работе программы доступны на уровне пользователей и групп; добавлена статистика по спаму, безусловному спаму и отфильтрованным сообщениям, а также по результатам антивирусной проверки вложений. Детализацию статистики теперь можно настроить. Дизайн отчетов был обновлен.

Были добавлены возможности хранения пользовательских правил и поддержки групп и алиасов адресов во внутренней базе данных.

В SMTP proxy добавлена возможность проверки не только защищаемых доменов, но и защищаемых адресов. Это позволяет исключать получателей с неверно указанным адресом на этапе SMTP-сессии, а также эффективно противодействовать DHA-атакам. Кроме того, улучшена производительность компонента, отвечающего за получение почты.

В шестой версии Dr.Web для почтовых серверов Unix появилась возможность просмотра часто задаваемых пользовательских вопросов. 

В Dr.Web для интернет-шлюзов Unix усовершенствовано предотвращение попыток посещения вредоносных ресурсов: вместо баннера, ведущего на зараженный сайт, отображается предупреждение, а в случае попытки посещения сайта из черного списка отправляется уведомление. Также была реализована возможность работы продукта без использования антивирусного демона — в режиме проверки тематических черных списков. Помимо этого, был значительно улучшен редактор mime-правил в веб-интерфейсе, позволяющий реагировать на различные объекты в зависимости от их mime-типа.

Добавлена возможность использования динамического пула процессов: обработчики запросов добавляются и отключаются в зависимости от уровня нагрузки. Это позволило отказаться от старого механизма управления процессами и значительно улучшить масштабируемость программы.

Для удобства работы с продуктом добавлена поддержка групп пользователей и групп/категорий с различными настройками, в том числе и по блокируемому/дозволенному контенту.

В Dr.Web для файловых серверов Unix была добавлена поддержка Samba 3.5.

Для всех трех продуктов была реализована поддержка автоматического обновления ключевого файла.

Программные продукты Dr.Web для почтовых серверов, интернет-шлюзов и файловых серверов Unix доступны соответственно в рамках лицензии на Dr.Web Mail Security Suite, Dr.Web Gateway Security Suite и Dr.Web Server Security Suite.