Перейти к содержанию
AM_Bot

Trojan.DownLoad2.29598 пытается защититься от антивирусных программ

Автор AM_Bot, в Современные угрозы и защита от них

Recommended Posts

AM_Bot    48

AM_Bot
Опубликовано

14 июля 2011 года

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — обращает внимание пользователей на рост распространения троянской программы Trojan.DownLoad2.29598, предназначенной для скрытой загрузки и установки на зараженный компьютер вредоносных программ и драйверов. Троянец использует алгоритмы защиты от анализа с помощью отладчика и запуска на виртуальных машинах.

Запустившись на инфицированном компьютере, Trojan.DownLoad2.29598 прописывается в отвечающей за автозагрузку приложений ветке системного реестра, после чего выделяет для своих нужд оперативную память и копирует в нее необходимые для своего функционирования системные библиотеки. Иными словами, троянец обладает собственным загрузчиком библиотек, благодаря которому может успешно обходить перехваты, расставляемые используемым для обеспечения безопасности ПО.

Как следствие, большинство отладчиков не в состоянии определить имена используемых им функций, что нередко затрудняет исследование подобных угроз. Также с помощью специального алгоритма троянец проверяет, не запущен ли он в виртуальной машине. Таким образом, в данной вредоносной программе реализован механизм защиты от анализа с помощью вспомогательного инструментария, которым обычно пользуются разработчики антивирусных программ.

DownLoad2_29598_250.gif

После загрузки на компьютер жертвы Trojan.DownLoad2.29598 проверяет наличие соединения с Интернетом, отправляя запрос серверу smtp16.mail.ru. Затем троянец пытается связаться с командным сервером и отправляет на него шифрованный запрос, в ответ на который получает команду либо на скачивание с удаленного узла вредоносного файла и запуск его в качестве фонового процесса, либо на встраивание его в один из уже загруженных в память сервисов, либо на запуск драйвера.

Сигнатура Trojan.DownLoad2.29598 уже добавлена в вирусные базы Dr.Web, благодаря чему наши пользователи полностью защищены от этой троянской программы. Рекомендуем также регулярно выполнять полную проверку жестких дисков вашего компьютера.

Источник

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

DiabloNova    175

DiabloNova
Опубликовано

И в чем же здесь инновации? В pe лоадере? Или в бане вм?

Троянов с харкодом виртуальных машин можно отсыпать вагон и маленькую тележку.

Сама новость так и отдает желтизной.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      Добавить в меню команды: Блокировать запуск файла по: [MinimumStackCommitInBytes] Снять блокировку [MinimumStackCommitInBytes] установленную uVS - [1077777777] Полностью снять блокировку [MinimumStackCommitInBytes] -  [?ХХХХХХХХ?] ---------- Пример: Блокировать запуск файла по: [MinimumStackCommitInBytes] IFEO\mediaget.exe: [MinimumStackCommitInBytes] 1077777777 IFEO\PowwerTool.exe: [MinimumStackCommitInBytes] 1077777777 -------- Команда: Проверить реестр и доступные копии реестра ( с возможностью указать копию ) на IFEO -  [MinimumStackCommitInBytes] Команда: Проверить реестр и доступные копии реестра ( а тут можно подумать, на что ещё можно проверить копию )
    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

      В том году была статья : по поводу MinimumStackCommitInBytes https://www.trendmicro.com/en_in/research/23/e/attack-on-security-titans-earth-longzhi-returns-with-new-tricks.html Похоже и у нас начали активно это применять. https://forum.kasperskyclub.ru/topic/465310-slovil-majner-kogda-skachival-obhod-blokirovki-diskorda/ https://www.cyberforum.ru/viruses/thread3189071.html?ysclid=m4x30zzs6v421256067  
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      И не должен работать, такое удалять разрешено только вручную.
    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

      Ошибка получения XML описания задачи: \Microsoft\Windows\SoftwareProtectionPlatform\SvcRestartTask  [Error: 0x80041321 - Образ задачи поврежден или изменен. ] Соответственно на такие случаи команда: (Alt+Delete) не работает. https://vms.drweb.ru/virus/?i=27169926
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      Предлагаю добавить в settings.ini - настройку: Передавать статистику удаляемых файлов. Для чего ? Когда статистика будет накоплена ( и проанализирована ) то можно будет применить команду: 1) Обнаружить угрозы - исходя из данных статистики 2) Создать автоскипт на базе общей операционной статистки 3) Создать автоскипт на базе моей статистики. Файл\ы данных доступны - как при обращении к серверу - так и локально. ----- % 70 скрипта - Это всё одно и тоже... Так чего мучить Оператора, если минимум % 70 скрипта можно генерировать автоматически,  а стальное он сам допишет. А то автоскрипт есть - а пользуется этим три человека. ------- Кроме того - та же история и с FRST - можно создать автоматический _помощник который будет например в Notepad++ помечать ( на базе статистики ) закладкой все типичные удаляемые объекты. Ведь не единым uVS жив человек ?  
×