На гэтым тыдні кампанія Symantec апублікавала дзевяць апісанняў шкоднасных праграм, з якіх ёсць адна новая - гэта чарвяк Buzus, які рапространяется праз здымныя носьбіты. Пасля запуску з дапамогай AutoRun.inf чарвяк запісвае свой выканальны файл у дырэкторыі %CommonProgramFiles% і %SystemDrive% пад імем Syesm.exe і забяспечвае сабе запуск праз запіс рэестру ў падзеле HKLMsoftwareMicrosoftWindowsCurrentVersionpoliciesExplorerRun. Чарвяк рэгіструе сябе як сэрвіс пад імем DrvKiller. Пасля гэтага чарвяк займаецца зборам інфармацыі аб ключих шыфраванні, найменні кампутара, яго сеткавых наладах і версіі аперацыйнай сістэмы. Усе гэтыя дадзеныя ён спрабуе пераслаць на выдалены сервер. Акрамя таго, Buzus спрабуе загрузіць з вонкавага сайта праграму выдаленага кіравання Gammima. Па дадзеных кампаніі Sophos з'явіліся рассыланні спаму, якія віншуюць з Калядамі, але па прапанаванай спасылцы з паштоўкай загружаецца траянец Zapchas-EO. Утрымоўвальнага яго файл завецца ChristamsCard.jpg.exe. Гэты вредонос захоўвае ў карзину досыць шмат шкоднасных файлаў, якія і запускае. У выніку будзе адключаны міжсеткавы экран Windows, запушчаны новы шкоднасны сэрвіс пад імем svchost і змененыя некаторыя налады рэестру. Адзін з кампанентаў траянца нават з'яўляецца flesh-ролікам, які ўтрымоўвае два малюнка, якія і паказвае карыстачу. Аднак акрамя гэтага ўсталёўваецца і зомбі кампанент, кіраваны па пратаколе IRC. У выніку, кампутар становіцца часткай зомбі-сеткі.
ВІРУСАЛОГІЯ: Buzus і Zapchas-EO
16 снежня 2009
Каментароў (0)