Не все сайты одинаково полезные

Streetseeker

Хакер, номер #093, стр. 093-076-2

Разбор полетов

Мне ничего не оставалось делать, как грузануться в safe-mode и запустить проверку системы с помощью AVP. Сканирование показало, что на моей машине поселились аж 3 разных вируса (и это после захода всего на один ресурс)! Но интуиция подсказывала, что на компе еще что-то прячется. И я был прав. Запустив проводник и перейдя в системный каталог винды (c:\windows\system32), я отсортировал все файлы по дате создания. Оказалось, что в системе обитает некий system32.dll и system32.com, созданные во время путешествия по cracks.am. Я сразу же кинулся мониторить текущие процессы, но оказалось, что эта тварь (или какой-нибудь другой троянец) установила политику, запрещающую запуск менеджера задач. Конечно же, я быстро отменил ее, но мне стало ясно, что не все троянцы могут быть замечены антивирусом.

Следующие ресурсы, которые я посетил носили имена crackportal.com, serialsite.com, subserials.net, warezz.nm.ru и crackers.org (по порядку) На _всех_ порталах открывались всплывающие окна и загружались троянцы. Но в каждой бочке дегтя, есть бочка меда - единственный ресурс crackers.org выдал мне чистый кряк, который взломал программу без последствий.

Хочется рассказать о ресурсе crackportal.com, а точнее об одном ядовитом pop-up'е, открывающийся при выборе кряка. В систему через баг Осла сливается "картинка" pic10.jpg, которая на самом деле является экзешником и заменяет собой Windows Media Player. Затем сливаются приложения web.exe и classload.jar, после чего стартуется апплет и определяет местонахождение винды (GetWindowsDirectory()), сбрасывает туда web.exe и запускает его. Волшебным образом в системе оказывается троянец Trojan.Win32.Spooner.f. А он в свою очередь тащит за собой Trojan-Downloader.Win32.Small.apf. Короче, начинается конкретная круговерть, которая заканчивается тем, что на компьютере оказываются: Trojan-Spy.Win32.Banker.jk, Тrojan-Proxy.Win32.Small.bh, Backdoor.Win32.Zins.c, Trojan-Dropper.Win32.Small.vn, Trojan-Dropper.Win32.Small.wp, Trojan-Downloader.Win32.Agent.lv и Backdoor.Win32.Jeemp.c. Душевно, правда? :). Кроме этого, модифицируется файл hosts, в котоом блокируются урлы Касперского, MCAfee, и Symantec. Мало того, как я заметил, происходит генерация фейкового html-файла, который забрасывается на десктоп и сообщает юзеру о том, что у него по крайней мере 3 опасных вируса в системе, и предлагается пройти по адресу topantivirus.biz для того, чтобы скачать антивирус :).