Недельный отчет Panda Software о вирусах и вторжениях

На этой неделе в традиционном отчете PandaLabs рассматриваются трояны Therat.B и Alanchum.UG, backdoor-трояна Redirection.A и червя TellSky.A. Therat.B – это клавиатурный троян, предназначенный для записи нажатых клавиш. Он попадает в компьютер вместе с электронной почтой, загрузками и т.д. Он также обладает чрезвычайно опасной функцией, позволяющей ему красть пароли, сохраненные в элементе AutoComplete (Автозаполнение) интернет-браузера пользователя, который обычно используется для автоматической подстановки имени пользователя и пароля в онлайновых формах после ввода одной-двух первых букв.

Цель Therat.B – кража имен пользователей, паролей, веб-адресов и др. Затем собранная информация пересылается создателю трояна по электронной почте. Therat.B также модифицирует содержимое реестра Windows для того, чтобы иметь возможность запускаться при загрузке компьютера. Alanchum.UG пополнил семейство Alanchum, - один из наиболее активных видов вредоносного ПО за последние месяцы. Упомянутый вариант обычно попадает в компьютер с помощью другого вредоносного кода, который помимо Alanchum.UG загружает еще и рекламную программу CWS.

Он изменяет содержимое реестра Windows для того, чтобы запускаться при загрузке компьютера. Alanchum.UG предназначен для рассылки спама. Он ищет все электронные адреса, сохраненные в зараженном компьютере, и затем размещает их на веб-странице. Для того чтобы скрыть свои процессы, и таким образом затруднить своё обнаружение, троян использует руткитовые технологии.

Далее рассматривается вредоносный код под названием Redirection.A. Как и все backdoor-трояны он открывает на зараженном компьютере «черный ход» (backdoor), а затем подключается к IRC-серверу, вследствие чего компьютер становится доступен для удаленного управления. Данный код может выполнять целый ряд вредоносных действий: сбор информации о зараженной системе (IP, характеристики); активация FTP-сервера для загрузки и выполнения на компьютере других вредоносных файлов.

Redirection.A также предназначен для сканирования диапазонов IP в поисках компьютеров с установленной VNC-программой (система числового управления с речевым вводом команд). Эта программа позволяет управлять компьютером удаленно. Если Redirection.A находит компьютер с установленной VNC-программой – он немедленно инсталлируется и в этой системе. Также данный троян может самостоятельно деинсталлироваться с компьютера, при этом удалив все созданные им записи реестра, что еще более затрудняет его обнаружение.

В завершение сегодняшнего отчета рассмтривается червь TellSky.A. Этот вредоносный код копируется на жесткий диск под такими именами, как, например, Girl.exe или Downloader.exe. Он также изменяет содержимое реестра Windows для того, чтобы запускаться при загрузке компьютера. При первом запуске червь выбрасывает сообщение об ошибке. Цель этого сообщения – отвлечь пользователя, пока TellSky.A занимается выполнением вредоносных действий, среди которых нарушение корректной работы решений безопасности.

Затем червь старается подключиться к веб-странице, с которой можно загрузить другие вредоносные файлы. TellSky.A отключает некоторые системные опции, такие как Запуск в меню Пуск и Свойства папки. Большинство таких модификаций производятся с целью снизить уровень безопасности или заблокировать функции, которые могут помочь в локализации угрозы.