rubin
07.01.2008, 22:45
Описание
При установке дропается в Local Settings\Temp. Имя файла произвольное, размер 100891 байт, написал на Дельфи, упакован ASPack.
Файл соединяется с
85.255.151.150
209.160.73.98
и закачивает в ту же папку G5-tmp_.exe (имя может меняться, детектится как Trojan-Downloader.Win32.IEDefender.e) - 405504 байта, написан на Дельфи, упакован UPX, и несколько tmp-файлов с нулевым размером.
Открывается окно сеанса MS-DOS (запускается G5-tmp_.exe), и сразу же поверх него появляется окно с лицензионным соглашением установки якобы видео-плагина для браузера. При согласии через пару секунд открывается окно об успешной установке и необходимости перезапустить браузер. Браузер перезапускается самим зловредом и в открывшемся окне мы видим Гугл с результатами поиска по слову YouTube (http://google.com/search?q=youtube).
Но в дальнейшем, либо из-за ошибки в выложенном G5-tmp_.exe, либо недоработке создателя, ничего вредоносного с системой не происходит.
Симптомы:
- пустая запись BHO BDA71-9EA2-467C-90EC-EO947A9BB1ED
- AVZ сообщает о модификации префиксов
При установке дропается в Local Settings\Temp. Имя файла произвольное, размер 100891 байт, написал на Дельфи, упакован ASPack.
Файл соединяется с
85.255.151.150
209.160.73.98
и закачивает в ту же папку G5-tmp_.exe (имя может меняться, детектится как Trojan-Downloader.Win32.IEDefender.e) - 405504 байта, написан на Дельфи, упакован UPX, и несколько tmp-файлов с нулевым размером.
Открывается окно сеанса MS-DOS (запускается G5-tmp_.exe), и сразу же поверх него появляется окно с лицензионным соглашением установки якобы видео-плагина для браузера. При согласии через пару секунд открывается окно об успешной установке и необходимости перезапустить браузер. Браузер перезапускается самим зловредом и в открывшемся окне мы видим Гугл с результатами поиска по слову YouTube (http://google.com/search?q=youtube).
Но в дальнейшем, либо из-за ошибки в выложенном G5-tmp_.exe, либо недоработке создателя, ничего вредоносного с системой не происходит.
Симптомы:
- пустая запись BHO BDA71-9EA2-467C-90EC-EO947A9BB1ED
- AVZ сообщает о модификации префиксов