Недельный отчет Panda Software о вирусах и вторжениях
Для того, чтобы гарантированно получить от пользователей ценные данные, при следующем запуске ПК троян выбрасывает фальшивое сообщение от Windows, в котором пользователю сообщается о том, что кто-то другой уже активировал его копию Windows. Затем пользователя просят ввести определенную информацию, которая якобы докажет, что его копия не является пиратской. “Все дело в том, что пользователей фактически силой заставляют вводить нужные хакерам данные. Даже если они щелкнут “Нет, я сделаю это позже”, компьютер выключится, а при перезапуске вновь появится это же сообщение, ” объясняет Луис Корронс, технический директор PandaLabs.
Если пользователь нажимает Далее, троян отображает новое окно, в котором предлагает ввести персональные данные, в том числе номер кредитной карты, адрес электронной почты или код CVV. Троян обязательно проверяет, чтобы адрес электронной почты содержал символ “@”, а в номере кредитной карты было правильное количество цифр. Spabot.AS – это еще один очень опасный троян. Этот вредоносный код создает в компьютере несколько файлов. Один из них – это оригинал трояна, который проверяет наличие интернет-подключения и при положительном результате начинает рассылать спам. В этой нежелательной почте рекламируются различные медицинские препараты, а пользователю предлагается перейти на определенный веб-сайт, где они якобы смогут приобрести эти товары.
Еще одним файлом, создаваемым Spabot.AS на компьютере, является DLL-библиотека, которая вносит изменения в уровни LSP (многоуровневый сервис-провайдер - Layered Service Provider) для фильтрации коммуникаций. Многоуровневые сервис-провайдеры обычно отслеживают сетевые подключения установленных приложений. Это, например, позволяет трояну получать информацию, которой обмениваются Internet Explorer и серверы, а также перехватывать электронные сообщения, отправляемые из Outlook. В последнюю очередь рассмотривается червь Mhubs.A. Для того чтобы обмануть пользователей, он скрывается под видом традиционной иконки “Мой компьютер” в Windows. Когда пользователь щелкает по иконке, червь открывает окно, абсолютно идентичное оригинальной папке “Мой компьютер”. Однако, одновременно, он копирует себя на все физические и съемные диски, подключенные к компьютеру.
Mhubs.A создает файл, который встраивается в Windows Explorer и позволяет червю запускаться каждый раз, когда пользователь открывает приложение. В компьютерах под Windows 98 требуется согласие пользователя перед запуском, поскольку эта операционная система распознает вредоносный код в качестве управляющего элемента ActiveX. Но в Windows XP заражение происходит мгновенно и не сопровождается никакими видимыми симптомами. Данный червь также вносит ряд изменений в реестр Windows. Одно из таких изменений позволяет ему скрывать расширения файлов, чтобы они были невидимыми для Windows. Также он способен прятать свои копии на различных дисках.
