Bách Khoa Antivirus-Đặc Điểm Các Virus part 8 ppsx

 Xuất hiện một chương trình mạo nhận là AntivirusXP, tự động quét virus và yêu cầu đăng kí sử dụng, cập nhật  Màn hình nền desktop bị thay bởi màn hình xanh cảnh bảo: "Warning!. Cách

Trang 1

 Gửi các thông điệp có kèm theo link độc đến các nick chat trong sổ địa chỉ Yahoo Messenger của máy bị nhiễm để phát tán

Chuyên viên phân tích : Nguyễn Công Cường

Một số malware đáng chú ý cập nhật cùng ngày:

W32.AVKillerZRC.Worm, W32.AcLuDLMonB.Rootkit,

W32.AVFilter.Rootkit, W32.CinmusBX.Rootkit, W32.EggIRCBot.Trojan, W32.AutoVbsK.Worm, W32.ConhookHA.Trojan, W32.CPushSA.Adware, W32.DowlodTD.Trojan, W32.DownloaderZQ.Worm,

W32.PMonPZ.Worm

18 Bkav1809 (07/08/2008) cập nhật lần thứ 1: Deathy, SecretBD

Malware cập nhật mới nhất:

Nguy cơ:

 Làm giảm mức độ an ninh của hệ thống

 Lấy cắp và gửi thông tin cá nhân ra bên ngoài

Hiện tượng:

 Sửa registry

 Xuất hiện một chương trình mạo nhận là AntivirusXP, tự động quét virus và yêu cầu đăng kí sử dụng, cập nhật

 Màn hình nền desktop bị thay bởi màn hình xanh cảnh bảo: "Warning! Spyware detected on your computer Install an antivirus or spyware remover

to clean your computer!"

 Máy tính bị chậm đi

 Xuất hiện screensaver có dạng màn hình dump chuẩn của windows khi máy để khoảng 10 phút mà không sử dụng

Trang 2

Cách thức lây nhiễm:

 Do malware khác download về

Cách phòng tránh:

 Không nên mở file đính kèm không rõ nguồn gốc, đặc biệt là các file

có đuôi exe com pif và bat

 Không nên mở các liên kết lạ nhận đựơc qua Yahoo Messenger

 Không nên share full các ổ đĩa, thư mục trong mạng nội bộ, nên đặt password truy cập nếu muốn chia sẻ quyền sửa và tạo file

 Không nên vào các trang web cung cấp các phần mềm crack, hack, các trang web đen, độc hại

Mô tả kỹ thuật:

 Download file có dung lượng >9 Mb để làm chương trình diệt virus giả

 Download file screensaver có dạng màn hình dump chuẩn vào thư mục %system%

 Ghi key để virus được load lên khi khởi động:

+ HKCU\Software\Microsoft\Windows\CurrentVersion\Run

"lphc9dkj0ec6a"="%SYSDIR%/lphc9dkj0ec6a.exe"

"SMrhccdkj0ec6a"="%SYSDIR%/rhcahej0ej6v.exe"

 Ghi các key để thay đổi màn hình nền desktop và thiết đặt screensaver +"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Syste m"

"NoDispBackgroundPage"=1

"NoDispScrSavPage"=1

+"HKCU\\Control Panel\\Colors"

"ackground"

"WallpaperStyle"

"TileWallpaper"

"SCRNSAVE.EXE"

"OriginalWallpaper"

"ConvertedWallpaper"

"OriginalWallpaper"

"Wallpaper"

Chuyên viên phân tích : Phan Đình Phúc

Một số malware đáng chú ý cập nhật cùng ngày: W32.FialaFA.Worm,

W32.SecretAS.Worm, W32.AgentAF.Worm, W32.CPushZ.Worm,

Trang 3

W32.DownloadHY.Worm, W32.IRCBotHA.Worm, W32.KavvoA.Worm, W32.PoeBote.Worm, W32.PMonTP.Worm, W32.AntiAVM.Worm,

W32.KeyloggerB.Worm, W32.MSDomC.Worm

19 Phát hành lần thứ 2 ngày 13/08/2008, cập nhật Ckiechi, QQhxA, Collet,

Potube, SillyBotA, AutorunSys, SecretMC

Nguy cơ:

 Cài thêm virus/spyware vào hệ thống

 Lấy cắp thông tin cá nhân

 Không chạy được Bkav và các chương trình an ninh hệ thống

 Lây nhiễm qua các trang hack, crack, các trang web đen, độc hại

 Lây nhiễm qua các virus khác download về máy

 Lây nhiễm qua ổ USB, ổ mạng

 Không nên mở các file đính kèm có phần mở rông exe, com, pif

 Không nên mở các ổ USB mới chưa được quét virus bằng cách nháy kép vào ổ đĩa

 Ghi giá trị:

Trang 4

o “Shell”=”explorer.exe SVCH0ST.exe ”vào key HKLM\ \Winlogon

 Tạo ra các files:

o %systemroot%\system32\WINLOG0N.exe

o %systemroot%\system32\SVCH0ST.exe (bản sao của virus)

 Kiểm tra phiên bản mới của virus qua link:

http://74.220.207.173/~tqpqn[removed]/Server.ini

 Download phiên bản mới của virus qua link:

http://74.220.207.173/~tqpqn[removed]/Update.exe

 Copy bản thân vào các ổ USB Tạo file autorun.inf để tự chạy virus mỗi khi mở các ổ đĩa này

 Tắt các chương trình:

o Bkav

o Process Explorer

o FireLion

 Kết nối đến IRC Server irc.vhcgroup.net để nhận lệnh Các lệnh có thể có

o ConnectAgain

o Ready?

o msdos

o Msg

o Info

o listproc

o download

Chuyên viên phân tích : Cao Minh Phương

20 Phát hành lần thứ 2 ngày 13/09/2008, cập nhật AgentAT, FakecodecD,

FialaAP, KavoJCA, MixaJB, WhBoyJE

Nguy cơ:

Trang 5

 Bị ăn cắp mật khẩu tài khoản Game Online

 Bị Hacker chiếm quyền điều khiển từ xa

 Sửa registry

 Không sử dụng được một số chương trình Antivirus, một vài tiện ích của Windows và một vài chương trình khác

 Không hiện được các file có thuộc tính ẩn

 Hiện các popup quảng cáo gây khó chịu

 Vào Yahoo Messenger một lúc thì bị thông báo Send/Don't Send và không sử dụng được

 Có thể bị sập toàn bộ mạng LAN (không truy cập vào Internet được)

 Phát tán qua trang web

 Tự động lây nhiễm vào USB

 Giả mạo Gateway để phát tán link độc có chứa virus

 Không nên mở ổ USB bằng cách nháy kép vào biểu tượng ổ đĩa

 Copy bản thân thành file có tên "wuauc1t.exe" và "Explorer.exe" vào thư mục %SysDir%

 Copy bản thân thành file có tên "MSDN.pif" kèm theo file autorun.inf vào tất cả các ổ đĩa

 Ghi giá trị "IEXPLORER" vào key HKLM\ \Run, sửa giá trị "Shell" trong key HKLM\ \Winlogon để virus được kích hoạt mỗi khi windows khởi động

Ghi key debugger để chạy file của virus thay vì chạy các file : 360rpt.EXE,

360safe.EXE, 360tray.EXE, AVP.EXE, AvMonitor.EXE, CCenter.EXE,

IceSword.EXE, Iparmor.EXE, KVMonxp.kxp, KVSrvXP.EXE, KVWSC.EXE,

Định dạng
Số trang	5
Dung lượng	140,31 KB