ANTICHAT — форум по информационной безопасности, OSINT и технологиям

17:15 30.07.2007
PandaLabs об индонезийском черве

В еженедельном отчете PandaLabs описала три новых вредоносных кода: трояна PayRob.A, утилиту Icepack и червя Chasnah.A.

PayRob.A – троян, который крадет данные из учетных записей PayPal. После запуска, PayRob.A присваивает себе атрибуты скрытого файла и редактирует реестр Windows для того, чтобы запускаться при каждой загрузке системы. Троян создает на зараженном компьютере две своих копии – одну в папке временных файлов интернета, а вторую – в C:\WINDOWS\MSAPPS\. Если в системе не обнаружена последняя директория, пользователь видит сообщение об ошибке. Также он помещает копию файла под названием modeexpinovo.txt в папку с временными интернет-файлами. В этом текстовом файле хранятся все пароли PayPal, найденные трояном в зараженной системе. Хакеры могут получать удаленный доступ к этому файлу с определенного интернет-хоста.

Червь Chasnah.A общается с владельцем зараженного компьютера на индонезийском языке, а также время от времени открывает веб-страницу какой-нибудь индонезийской организации. Этот червь использует для своего распространения папки совместного доступа и USB-устройства. После запуска, Chasnah.A создает в зараженной системе несколько файлов, а также несколько записей в реестре Windows.

IcePack – вредоносная утилита, предназначенная для инсталляции вредоносного ПО с помощью эксплойтов. Icepack заражает компьютеры следующим образом: утилита получает доступ к определенной веб-странице, куда она добавляет iframe-ссылку, ведущую на сервер, на котором установлено данное приложение. Основное отличие Icepack заключается в том, что такую ссылку добавляет сама утилита. Предыдущим приложениям, таким как Mpack, были необходимы действия хакера, который вручную осуществлял доступ к веб-страницам, на которые затем добавлялась ссылка.

При посещении таких искаженных страниц пользователями, активируется Icepack, которая анализирует компьютер пользователя на предмет уязвимостей. При положительном результате, она скачивает из сети эксплойт, необходимый для использования имеющейся в компьютере уязвимости.


источник