новое кидалово

[sandwarrior]

новый вид кидалова/взлома.

к вам приходит ТЗ от чела в виде excel файла, в котором написано, чтобы просмотреть ТЗ нужно включить макросы (строго небезопасно) и нажать кнопку

после этого к вам успешно ставится прога, скачиваюшая трояна, которая маскируетя под системный процесс, чтобы файервол не прибил процесс. короче полный П.

собсна: "товаищи! не забываите, по пыавила безопасности!" © Ленин.

p.s. так с моим знакомым было

[GONEVO™]

sandwarrior
Ну я думаю ума должно быть куча, что бы открывать подобные отсебятины.

[sandwarrior]

GONEVO™, не у всех аська 6-ти значная
так что предупредить хотя бы не помешало бы. тем более, что метод может просто модифицироваться, не прибегая к excel файлам.

[Ps]

Originally posted by sandwarrior@Apr 13 2006, 18:15
[b]p.s. так с моим знакомым было

Отмазуйся, отмазуйся...

[crack]

вещь кстати довольно серьезная, винду ложит только так, т.к. повреждает файл с ключом и после перезагрузки в профиль просто невозможно зайти...сам на это гавно попался, т.к. в сообщении было написано, что мыло мое нашли на it-форуме беларуском, на котором я активно общаюсь...

Троянский конь - Trojan.Encoder. Описание троянского коня и программа дешифровки файлов.



Службой технической поддержки Dr. Web® зафиксированы многочисленные случаи заражений новой троянской программой шифрующей документы на компьютерах пользователей. Данная троянская программа определяется средствами антивирусного пакета Dr. Web ® как Trojan.Encoder. Запись о данном вредоносном коде внесена в антивирусную базу Dr. Web ®, 26 января 2006 года.

Краткое описание Trojan.Encoder:

Троянская программа приходит на компьютеры потенциальных жертв по электронной почте, в виде вложения к электронному письму.
После запуска вложения пользователем троянская программа активизируется на компьютере – жертве и записывает свою копию под именем Filename.exe в системную директорию.
Создает ключ реестра, для автоматического запуска своей копии в качестве сервиса операционной системы:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun
services = Filename.exe

После запуска своей копии, троянская программа сканирует локальные диски компьютера – жертвы находя файлы со следующими расширениями:
"rtf" ,"txt" ,"pdf" ,"csv" ,"frm" ,"css" ,"xls" ,
"mdb" ,"dbf" ,"dbt" ,"db" ,"safe" ,"flb" ,"pst" ,"pwl" ,"pwa" ,"pak" ,"rar" ,
"zip" ,"arj" ,"gz" ,"tar" ,"sar" ,"htm" ,"html" ,"cgi" ,"pl" ,"kwm" ,"pwm" ,
"cdr" ,"dbx" ,"mmf" ,"tbb" ,"xml " ,"frt" ,"frx" ,"gtd" ,"rmr" ,"chm" ,"mo" ,
"man" ,"c" ,"cpp" ,"h" ,"pgp" ,"gzip" ,"lst" ,"pfx" ,"p12" ,"db1" ,"db2" ,
"cnt" ,"sig" ,"css" ,"arh" ,"pem" ,"key" ,"prf" ,"old" ,"rnd" ,"prx"

Шифрует все найденные файлы, с таким расширением используя алгоритм RSA.

Размещает на жестком диске файлы с readme.txt следующего содержания:

Some files are coded by RSA method.
To buy decoder mail: ********34@rambler.ru
with subject: RSA 5 68243170728578411

Дешифровка файлов:

Специалисты службы антивирусного мониторинга антивирусной программы Dr. Web ® разработали утилиту позволяющую расшифровать пораженные файлы и вернуть их в прежнее состояние.
Для расшифровки необходимо запустить данную утилиту со следующими параметрами:
te_decrypt.exe имя_файла_который_требуетс� �_дешифровать

(Вы можете запустить утилиту с помощью пункта «Выполнить» из меню «Пуск» вашей операционной системы)

Обращаем внимание, что дешифрованный с помощью этой утилиты файл будет иметь первоначальное имя с добавленным к нему расширением .decr.

Если на компьютере – жертве зашифровано большое количество файлов, можно использовать утилиту дешифровки вместе с bat файлом следующего содержания:

---- begin "decrypt.bat" ----
for /R %%f in (*.*) do te_decrypt.exe "%%f"
for /R %%i in (*.decr) do move "%%i" "%%~dpni"
---- end "decrypt.bat" ----

Принцип работы данного bat файла:
Первая строчка запускает сканирование из текущего каталога по всем его подкаталогам с вызовом декриптора для всех файлов;
Вторая строчка запускает сканирование и переписывает все найденные файлы с именами вида "имя_файла.decr" в файлы "имя_файла"

Вот так вот...