ynbIpb
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
теперь понятно почему он неубиваем в самой винде, потомучто он инжектится в каждый процесс через этот ключ реестра.
Раз он докачивает себя, фаервол в данном случае решает. У моих клиентов как раз его не было, вот и подцепили.
По ходу изначально он попадает на машину через эксплоит в браузере. или связку сплоитов.
Мой NOD32 2.7 опознал кучу DLL'ок как модифицированный Win32/Kryptik.BHX троян (вероятно спалил по использованому криптору)
Спасибо за информацию.
---- add ----
И так имеем виртуальную машину XP, инет через прокси. всё идёт через проксифер.
Переименовал *tmp файлик в virus.exe и понеслось... сразу же тупо на видном месте прописывает себя а автозапуск (видно через msconfig, стыд и срам афтору  )
далее следущее:
[09:02] virus.exe - google.com:80 open
[09:02] virus.exe - google.com:80 close, 0 bytes sent, 0 bytes received
[09:02] virus.exe - download.microsoft.com:80 open
[09:02] virus.exe - download.microsoft.com:80 close, 548 bytes sent, 1369431 bytes (1.30 MB) received
дальше процесс умирает из-за внутренней ошибки, о чём пишет докторватсон в своём логе.
после ребута всё посторяется...
чтоже он скачал с микрософта я так и не понял. |
Всего записей: 1645 | Зарегистр. 01-05-2006 | Отправлено: 08:20 30-12-2009 | Исправлено: ynbIpb, 09:33 30-12-2009 |
|
