PDA

Просмотр полной версии : Adware.GloboSearch (иконка в трее, создание ярлыков на рабочем столе ...)



Зайцев Олег
25.04.2005, 12:14
Если бы к Adware можно было бы применить термин "эпидемия", то можно было бы констатировать эпидемию Adware.GloboSearch. Данный Adware (лично я бы причислил его к троянам) состоит из единственной dll (на настоящий момент типовое имя - param32.dll, но оно может измениться) небольшого размера (около 15 кб). За прошедшие три дня я получил более десятка сообщений о поражении ПК данным Adware, наиболее подробное описание проблемы есть тут - http://virusinfo.info/index.php?board=26;action=display;threadid=1191

Проявления:
1. Подмена стартовой страницы, как правило на http://www.newgenlook.info
2. Появление в трее постороннего значка в виде кружка с крестом, для значка выводятся разные сообщения о якобы обнаруженных атаках и проблемах с безопасностью
3. Периодически выводятся окна с сообщениями о каких-то якобы открытых портах, предупреждениях безопасности ... - естественно поддельные
4. Идет посторонний обмен с http://www.newgenlook.info/ad/ad0237/dating/dating.html

Особенность этого Adware.GloboSearch состоит в том, что он не создает процессы и не внедряется в IE как BHO - его DLL загружается при помощи малоизвестного ключа реестра "SharedTaskScheduler".
Для детектирования "зверя" в AVZ 3.20 внесены все известные сигнатуры + микропрограмма эвристики для детектирования новых типов. Кроме того, в AVZ для этого "зверя" есть микропрограмма лечения, которая удалит его ключи реестра и удалит сам файл при помощи отложенного удаления.

azza
25.04.2005, 14:28
systr.dll - загрузчик www.hotoffers.info - использует тот же способ запуска.

Зайцев Олег
25.04.2005, 14:35
systr.dll - загрузчик www.hotoffers.info - использует тот же способ запуска.

Да, именно так - это AdvWare.Serpo.* по классификации AVP ... 8.7 кб размером, кстати структура DLL очень похожа на param32.dll, не исключено, что у них один автор

azza
25.04.2005, 14:46
А AVZ проверяет ключ реестра SharedTaskScheduler на предмет подозрительных записей?

Зайцев Олег
25.04.2005, 15:13
А AVZ проверяет ключ реестра SharedTaskScheduler на предмет подозрительных записей?

Сейчас - не проверяет (не понятно, что считать подозрительной записью). А вот лечить -лечит. Но микропрограмма легко может проверить этот список, нужно только определить критерии опасности

azza
25.04.2005, 18:08
не понятно, что считать подозрительной записью.
Любая запись, за исключением ссылающихся на валидную browseui.dll, подозрительна.

25.04.2005, 18:45
Не обязательно. У меня, например, этот раздел выглядит так:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

Хотя попробовать, конечно можно. База "чистых" ключей быстро наберется, ИМХО.

Зайцев Олег
26.04.2005, 08:08
Не обязательно. У меня, например, этот раздел выглядит так:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

Хотя попробовать, конечно можно. База "чистых" ключей быстро наберется, ИМХО.

В принципе попробовать действительно можно - месяц назал AVZ ругался на каждую вторую DLL как на "кейлоггер" - очень быстро все известное/безопасное попало в базы ...

azza
26.04.2005, 12:48
Не обязательно. У меня, например, этот раздел выглядит так:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

Дык и у меня так выглядит. Надо далее открывать соответствующий ключ CLSID, смотреть что там в качестве сервера прописано, и сверять с базой валидных файлов. Если нет в базе или не соответствует, выдавать предупреждение в отчёте.

ALEX(XX)
26.04.2005, 18:32
Сегодня столкнулся с этой пакостью. Машина с Win98SE. param32.dll оставалась резидентной даже в Safe Mode. Пришлось убивать её вручную в ДОСе.

Kos
28.04.2005, 13:36
Огромное человеческое спасибо Зайцеву Олегу и его проге AVZ 3.20. Она спасла меня!

Aleksandr
09.05.2005, 06:35
Огромное человеческое спасибо Зайцеву Олегу и его проге AVZ 3.20. Она спасла меня!


Да, программа очень хорошая. И Я Олегу писал. Он откликнулся (в отличии от лаборатории Касперского например). Но в процессе работы, выяснились некоторые недостатки. Все собираюсь написать. 8)