Новости троянологического толка

Xakep, номер #033, стр. 033-057-3

Обнаруженный SCP записывается в системный каталог Windows под именем ACI3.DLL.

Отличительной особенностью этого троянского зверя является возможность проведения DoS-атак. От подобной шняги уже пострадали: www.hotmail.com, www.internet.com, www.netscape.com, www.lycos.com, www.aol.com, www.msn.com, www.goto.com, www.excite.com, www.yahoo.com, www.altavista.com.

KRASS

О рождении новой звезды провозгласила фирма Trend Micro. Свежий троянец KRASS является еще одним бэкдором. Основная часть трояна - программа с хитрым и очень редким именем "Explorer.EXE". Под маской овцы скрывается серверная часть троянца. Она позволяет управлять компьютером-жертвой удаленно, используя для этого 456 порт на машине лоха. Вот его (трояна, не лоха, или лоха с трояном, как тебе будет угодно :) основные возможности: полный доступ к диску (запись/чтение файлов), уничтожение файлов/директорий, запуск приложений, загрузка файлов, отслеживание процессов, запущенных на компьютере-жертве, получение RAS-паролей (пароли удаленного доступа). Клиент данного бэкдора содержит также некоторые полезные функции, позволяющие использовать его автономно. К тому же, трой имеет опцию изменения заголовков любых окон, свойств или кнопок, скрытый "переключатель", который позволяет отключить для клиента доступ к любому диску. Чтобы активизировать эту опцию, необходимо добавить переключатель /SECRET %) в командную строку, тогда программа покажет четыре опции: Disable RAS Password (закрыть доступ к RAS-паролям), Disable Disk Access (отключить доступ к диску), Disable File Deleting (отрубить удаление файлов), загрузку файлов (Download), Disable Button Clicking (запретить нажатие кнопок).

Count2K

Зараза распространяется по электронной почте от лица службы технической поддержки корпорации Microsoft (оригинально, не правда ли?). Трой идет в файле с названием Y2KCOUNT.EXE длиной 124885 байт, прикрепленным к некоторому почтовому мессаджу. Внутри файла сидит самораспаковывающийся архив, собравший в себе Project1.exe, file001.dat, file002.dat, file003.dat, file004.dat. При обращении к архиву на экране появляется сообщение "Password protection error or invalid CRC32!" и стартует файлик Project1.exe, который копирует каждый из четырех dat-файлов в каталог WINDOWS\SYSTEM под именами Proclib.exe, Proclib.dll, Proclib16.dll, ntsvsrv.dll, Nlhvld.dll. Затем в секцию [boot] файла SYSTEM.INI в строку 'drivers=' записывается имя "ntsvsrv.dll", что обеспечивает запуск троя при следующей перезагрузке системы. В момент перезагрузки файл WSOCK32.DLL в каталоге WINDOWS\SYSTEM переименовывается в Nlhvld.dll, затем Proclib16.dll переписывается в WSOCK32.DLL. Эта операция позволяет "трояну" подрубаться к Internet-соединению и запускать файл proclib.exe при каждом сеансе работы с Инетом. Цель работы нового монстра - перехват имени пользователя и пароля с их дальнейшей пересылкой автору.