Новости троянологического толка

Xakep, номер #033, стр. 033-057-2

P R I O R I T Y

PRIORITY - новый бэкдор с удобным интерфейсом (но пока в бета-тестировании). Прога напоминает собой SK Silencer (который, по словам автора PRIORITY, представляет собой ни что иное, как одну из первых версий PRIORITY, упертую и исправленную SmithClan'ом). Сразу после запуска серверной части на машине жертвы создается файл C:\Windows\System\PServer.exe. По умолчанию юзается порт 16969 (все любят позицию 69? :). Данная программулина позволяет: вести чат с другими клиентами, подключенными к данному серверу (чтобы поведать друг другу о самых аппетитных местах на харде ламака :) и жертвой; выключать и перезагружать администрируемую машину, разрывать связь с Инетом, выгружать непонравившиеся проги на компе жертвы, тырить пароли от аси, запускать проги, издавать душераздирающие звуки, показывать картинки и многое другое. Но особо меня порадовала функция Ping Pong, которая показывает на экране прыгающий шарик :). В финальной версии автор обещает сделать FTP сервер для администрирования дисков протрояненного долбака, который сам это делать не умеет :). В общем, неплохой троян (да и сервер весит не очень много), но будем ждать финальную версию с работающим ФТП.

W32.Leave.B.Worm

Данное творение уже не совсем троян. Это интернет-червь с функциями бэкдора. В качестве пути распространения W32.Leave.B.Worm эксплуатирует мыло - в письме, пришедшем якобы от службы технической поддержки Microsoft и похожем на письма от MS по стилю, ламаку предлагается скачать очередное исправление к продуктам софтверного гиганта. При этом в письме сообщается, что заплатка предназначается для защиты от нового вируса, способного уничтожать документы, стирать с диска mp3 и видео, заражать исполняемые файлы и портить BIOS. Его (W32.Leave.B.Worm) функциональность базируется на особом скрипт-языке, который позволяет удаленному хосту управлять зараженным компьютером. Червь также способен загружать и активизировать множество плагинов, в результате чего он может самостоятельно обновляться из Инета. После запуска троян копируется в системный каталог мастдая под именем REGSV.EXE. В главном компоненте червя есть текстовая строка, которая является мастер-паролем (!) от SubSeven'а. Таким образом Leave может самостоятельно администрировать машины, зараженные этим троем и устанавливаться на них. Серверная часть червя-трояна позволяет делать следующее: загружать с web-сайтов и активировать другие EXE-файлы (плагины червя), сканировать IP-адреса по заданной маске, подключаться к IRC-серверам и выполнять IRC-команды, создавать, перемещать, удалять, выполнять файлы на зараженной машине, а также многое другое. Команды скрипта зашифрованы с применением 64-битного ключа. Когда червь прогружает скрипт, происходит расшифровка и исполнение заразы. Червь также содержит в своем коде скрипт "по умолчанию" (который также зашифрован).