Virus.Win32.Virut.av

Имя файла: NOTEPAD.EXE
Размер: 74.50 Kb
Date/Time Stamp(GMT): 04.08.2004 6:05
http://www.virustotal.com/ru/analisis/40352a18cbc7be8d8c17ef4c670cb7c7
http://www.threatexpert.com/report.aspx?md5=127c54b4211f076ef745788acbd3bdaa
Обычный блокнот заражен вирусом Virut. Размер файла увеличился на 7 Кб. Увеличение за счет расширения последней секции файла, в данном случаи секции ресурсов. Переход на добавленный код сразу на точке входа. Сначала вирус расшифровывает свое тело, затем создает мэпируемую секцию “SectVirtu”, добавляет себе отладочные права, перебирает процессы в системе, затем к пятому по счету процессу (winlogon.exe), мэпируется созданная секция и делает инжект (CreateRemoteThread). В новом потоке производится запись в файл “C:\WINDOWS\system32\DRIVERS\ETC\HOSTS” строки “127.0.0.1 NtKrnlpa.info”. Из ветки “SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer” читает ключ TargetHost. Затем в ветку "SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List" добавляется исключение для встроенного фаервола.
Затем идет запрос на командный сервер "proxim.ntkrnlpa.info"

Virus.Win32.Virut.ce

Имя файла: tcflash.exe
Размер: 30,5 Кб
Time/Date Stamp (GMT): 24 сентября 2007 г. 13:42:46
http://www.virustotal.com/ru/analisis/77f189044d56330a199c4b20eb25f161
Файл заражен путем расширения последний секции. Переход на добавленный код осуществляется не сразу на точке входа, а спустя некоторое число команд. Код разбавлен мусором и зашифрован. После расшифровки программа ищет базу kernall32.dll затем, по заданным хешам, ищутся нужные API функции. После этого перебираются процессы в системе, пропуская четыре первых и попадая на процесс winlogon.exe, далее производится инжект с помощью CreateRemoteThread. А вот сам код попадает в процесс winlogon.exe с помощью мэпирования секции (ZwMapViewOfSection). Далее программа копирует в процесс адреса нужных API функций.
В инжектированном коде открывается файл “Windows\System32\Drivers\ETS\HOST” и записывается туда строка “127.0.0.1 ZieF.pl”. Прописывает процесс winlogon.exe в исключения внутреннего брандмауэра. Командный центр находится по адресу http://ZieF.pl/, по адресу http://ZieF.pl/rc/ можно скачать PDF эксплоит.
Управление осуществляется по IRC.
2009, GMax
e_gmax@mail.ru