Обнаружен новый файловый вирус Win32.HLLP.Karud
Сегодня у пользователя обратившегося на наш форум был [URL="http://virusinfo.info/showthread.php?t=5548"]найден[/URL] новый, довольно опасный файловый вирус, который не детектировался ни одним антивирусом. Образцы вируса посланы в ДрВеб, ЛК, ВБА. На данный момент ДрВеб обнаруживает и лечит зараженные файлы.
Описание вируса от Олега Зайцева:
[B]Базовое описание:[/B]
Вирус написан на Delphi, размер около 450 кб. Заражает исполняемые файлы пристыковочным методом - создает файл, содержащий тело вируса + пораженную программу. В момент запуска такого файла управление получает вирус, который в свою очередь запускает программу. Для подобных манипуляций вирус активно использует папку Temp компьютера. В "хвосте" тела вируса размещается небольшой исполняемый файл, который обращается напрямую к диску через \Device\Harddisk0\Partition0 и может применяться для убиения MBR.
В процессе заражения вирус создает лог файл в папке Temp с именем ki.log со списком зараженных файлов.
Детект и лечение без сигнатур:
При включении протоколирования данных о чистых объектах AVZ детектирует его как Joiner:
2006-05-23\1\avz4\avz.txt/{EXE-Joiner}/.exe
Если запустить AVZ c параметрами
avz.exe extract_archives=y unpack_archives=y
и просканировать зараженный файл, то в папку UNPACKED\EXE-Joiner\ будут извлечены "излеченные" файлы, т.к. от них будет отсечен вирусный код.
[B]Лечение при помощи антивируса:[/B] на данный момент DrWeb детектирует и лечит файлы, пораженный данным вирусом.
Вирус может создавать на диске файл drivers\mdvdrom.sys и dvdromX.sys.
[B]Основной метод распространения вируса[/B]: локальная сеть. Вирус ищет расшаренные папки и заражает расположенные в них исполняемые файлы.
[B]Проявления:[/B]
1. В папке Temp в момент запуска появляются файлы вида svchost.exe<пробелы>XXXX, появляется файл ki.log
2. В памяти видны посторониие процессы
3. В XP возникают сообщения защиты системных файлов
4. В папке Drivers создается mdvdrom.sys размером 4 кб с "дисккиллером"
5. Многие программы после заражения могут работать некорректно, так как запускаются из папки Temp, а не из своих рабочих каталогов
[B]Метод экспресс-диагностики:[/B] в теле вируса содержатся строки "durak", "drivers\mdvdrom.sys", "Device\Harddisk0\Partition0", по которым можно произвести поиск зараженных объектов.
[B]Анализ "дисккиллера" mdvdrom.sys[/B]
Это драйвер, размер 4026 байта. Анализирует системное время, проверяя день и час. [I][U]Если текущий час > 14 и текущий день в диапазоне 25..31[/U][/I], то он окрывает на запись \\Device\\Harddisk0\\Partition0 и пишет туда содержимое буфера размером 512 байт, заполняемого перед этим в цикле числами от 0 до 255. В результате подобной записи [B][U]разрушается MBR.[/U][/B]
