Зайцев Олег
17.10.2005, 13:01
Это относительно свежая версия данного AdWare, как и его предудущие варианты она активно внедряется в систему.
Установку зверя ведет файл Installer.exe размером 577 кб, установка идет скрытно. В разделе "Установка и удаление программ" не создается записи для удаления "зверя".
Изученный образец размещается в c:\windows\system32\vlpodbc.dll,
эта DLL регистрируется как Winlogon Notify (ключ ShellCompatibility), и как модуль расширения проводника (CLSID = C9C71C9E-BF72-4B17-B05A-B6DBBB73C7E0, имя элемента не указывается). Это позволяет замаскироваться "зверю" от обнаружения простейшими анализаторами автозапуска типа msconfig. Look2me регистрирует создает в реестре CLSID C9C71C9E-BF72-4B17-B05A-B6DBBB73C7E0. vlpodbc.dll не имеет описания и копирайтов.
Обнаружение: Обнаруживается при помощи AVZ как посторонний элемент в автозапуске и модулях расширения проводника.
Лечение:
1. если сигнатура есть в базе AVZ, то лечение идет на автомате. Обязательное условие - должно быть включено эвристическое удаление файлов (удаление ведет сначала микропрограмма из вирусной базы, а затем эвристическое удаление "добивает" хвосты в реестре). После лечения обязательна презагрузка
2. если сигнатуры нет, то файл можно удалить при помощи отложенного удаления AVZ. Перезагрузка обязательна.
Установку зверя ведет файл Installer.exe размером 577 кб, установка идет скрытно. В разделе "Установка и удаление программ" не создается записи для удаления "зверя".
Изученный образец размещается в c:\windows\system32\vlpodbc.dll,
эта DLL регистрируется как Winlogon Notify (ключ ShellCompatibility), и как модуль расширения проводника (CLSID = C9C71C9E-BF72-4B17-B05A-B6DBBB73C7E0, имя элемента не указывается). Это позволяет замаскироваться "зверю" от обнаружения простейшими анализаторами автозапуска типа msconfig. Look2me регистрирует создает в реестре CLSID C9C71C9E-BF72-4B17-B05A-B6DBBB73C7E0. vlpodbc.dll не имеет описания и копирайтов.
Обнаружение: Обнаруживается при помощи AVZ как посторонний элемент в автозапуске и модулях расширения проводника.
Лечение:
1. если сигнатура есть в базе AVZ, то лечение идет на автомате. Обязательное условие - должно быть включено эвристическое удаление файлов (удаление ведет сначала микропрограмма из вирусной базы, а затем эвристическое удаление "добивает" хвосты в реестре). После лечения обязательна презагрузка
2. если сигнатуры нет, то файл можно удалить при помощи отложенного удаления AVZ. Перезагрузка обязательна.