ПОЛЬЗОВАТЕЛЯМ

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Trojan.Proxy.27552

Добавлен в вирусную базу Dr.Web: 2015-05-22

Описание добавлено:

Троянская программа, реализующая на инфицированном ПК функции backconnect-proxy сервера и предназначенная для рассылки спама совместно с удаленным спам-сервером.

В процессе инсталляции троянец пытается сохранить свои копии под именами сsrss.exe, svchost.exe и rundll32.exe в системной папке C:\Windows\System32, несмотря на то что в этой директории уже присутствует оригинальный сsrss.exe. При этом, если у троянского приложения окажутся достаточные системные полномочия (то есть вредоносный исполняемый файл запущен от имени учетной записи администратора и для него включены привилегии отладчика), он пытается завершить в памяти процесс сsrss.exe по его полному пути, что приводит к «падению» ОС Windows с демонстрацией «синего экрана смерти» (BSOD). В случае неудачи копирует указанные файлы в папку %APPDATA% и соответствующим образом модифицирует реестр Windows:

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
'Client Server Runtime Process' = '%APPDATA%\csrss.exe'
'Host-process Windows (Rundll32.exe)' = '%APPDATA%\rundll32.exe'
'Service Host Process for Windows' = '%APPDATA%\svchost.exe'

При следующей загрузке системы все три созданные троянцем приложения автоматически запускаются.

После запуска Trojan.Proxy.27552 проверяет наличие подключения к Интернету путем установки соединения с серверами smtp.gmail.com:25 и plus.smtp.mail.yahoo.com:25, при возникновении проблем с доступом к сети троянец завершает свою работу. В случае успеха пытается отправить сообщение об этом на управляющий сервер.

В теле вредоносной программы хранится список управляющих серверов. На каждый адрес из списка троянец отправляет, используя порт 9631 или 9630, значение DWORD 1000 (0x3e8), сервер должен ответить тем же. В случае успешного завершения этой операции управляющий север возвращает троянцу актуальный список IP-адресов управляющих серверов. Список начинается со значения DWORD, определяющего количество структур, затем следуют сами структуры, содержащие IP-адреса управляющих серверов, порт, метку времени (timestamp) и еще ряд дополнительных параметров, по которым троянец в дальнейшем пересортирует полученные данные. Данные списки сравниваются, из них удаляются локальные сетевые адреса и формируется окончательный список рабочих управляющих серверов, зашифровывается и записывается в реестр:

[HKCU\SOFTWARE\Microsoft\Software\Microsoft\Shared Police]
MachineParam="...."

Запустившись на инфицированном ПК, троянец создает три потока. Первый из них регулярно обновляет списки управляющих серверов (согласно описанному выше сценарию), второй отслеживает (и в случае необходимости восстанавливает) состояние ветви реестра, отвечающий за автозапуск троянца, третий реализует функции backconnect-proxy сервера.

Для связи с управляющими серверами троянец использует порт 9997 и применяет свой собственный бинарный протокол на основе SOCKS4/5. Вредоносная программа запускает новые треды и в них пробует подключиться к своим управляющим серверам, при этом некоторые из этих тредов периодически закрывают, а другие открывают порт. Первой командой управляющий сервер отправляет настройки для keep-alive соединения. Эти параметры передаются в функцию:

char __usercall set_keepalive_vals@<al>(int a1@<eax>, SOCKET s)
{
  int v2; // ecx@1
  int vInBuffer[3]; // [sp+0h] [bp-10h]@1
  DWORD cbBytesReturned; // [sp+Ch] [bp-4h]@1
  v2 = *(_DWORD *)a1;
  vInBuffer[2] = *(_DWORD *)(a1 + 4);
  vInBuffer[1] = v2;
  vInBuffer[0] = 1;
  WSAIoctl(s, SIO_KEEPALIVE_VALS, vInBuffer, 0xCu, 0, 0, &cbBytesReturned, 0, 0);
  return 1;
}

Таким образом управляющие серверы фактически заставляют инфицированную операционную систему поддерживать активное соединение заданный период времени. Например, команда c0 d4 01 00 30 75 00 00 заставляет систему удерживать соединение минимум 2 минуты, отправляя поддерживающие TCP-пакеты с интервалом в 30 секунд.

Основное функциональное назначение троянца — организация доступа к SMTP-серверам для массовой рассылки рекламных почтовых сообщений.

Новость о троянце

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web с 1992 года
Dr.Web в Реестре Отечественного ПО
Dr.Web совместим с российскими ОС и оборудованием
Dr.Web пользуются в 200+ странах мира
Техническая поддержка 24х7х365 Рус | En

Dr.Web © «Доктор Веб»
2003 — 2021

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125124, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А