Настойчивый троян прячет файлы установки в справке Windows

Эксперты по компьютерной безопасности засекли новое вредоносное приложение, которое размещает копию самого себя в файл справки Windows, что позволяет ему повторно заражать компьютеры жертв даже после их лечения.

Троян, получивший от антивирусной лаборатории McAfee обозначение Muster.e, поражает файл Windows, имеющий название imepaden.hlp, в котором он до поры до времени хранит зашифрованные копии своих основных компонентов. В случае если действующая копия трояна удаляется антивирусными средствами, работающий в качестве службы Windows установщик компилирует спрятанные компоненты в исполняемый файл upgraderUI.exe и запускает его.

Этот метод позволяет вирусу восстанавливать работоспособность даже после того, как большая часть его компонентов удалена с компьютера, а пользователи зачастую просто не в состоянии понять, почему их ПК постоянно инфицируется одним и тем же трояном.

Впрочем, это неудивительно – необычность Muster.e признали даже обнаружившие его исследователи, сообщившие, что ранее ни с чем подобным не сталкивались. Более полное описание вируса доступно [url]http://www.avertlabs.com/research/blog/index.php/2010/02/02/be-careful-on-help-files/[/url]

Интересно. То есть, если удалить файл "upgraderUI.exe", троян его восстанавливает?
Кстати, троян-вымогатель "Internet Security" тоже прячет себя в файлах справки и других. Но он делает это просто: создает поток NTFS и регистрирует в "AppInit_DLLs".

[QUOTE=SDA;578179]В случае если действующая копия трояна удаляется антивирусными средствами, работающий в качестве службы Windows установщик компилирует спрятанные компоненты в исполняемый файл upgraderUI.exe и запускает его.
[/QUOTE]
не впечатлил. что мешает антивирусам добавить детект установщика и лечить его так же. так можно про любой дроппер говорить, если его ав не знает.