Bách Khoa Antivirus-Đặc Điểm Các Virus part 10 ppt

 Không hiện được các file có thuộc tính ẩn.. Cách phòng tránh:  Không nên vào các trang web cung cấp các phần mềm crack, hack, các trang web đen, độc hại  Không nên mở ổ USB bằng

 Bị Hacker chiếm quyền điều khiển từ xa

Hiện tượng:

 Sửa registry

 Không sử dụng được một số chương trình Antivirus, một vài tiện ích của Windows và một vài chương trình khác

 Không hiện được các file có thuộc tính ẩn

 Hiện các popup quảng cáo gây khó chịu

 Vào Yahoo Messenger một lúc thì bị thông báo Send/Don't Send và không sử dụng được

 Có thể bị sập toàn bộ mạng LAN (không truy cập vào Internet được)

Cách thức lây nhiễm:

 Phát tán qua trang web

 Tự động lây nhiễm vào USB

 Giả mạo Gateway để phát tán link độc có chứa virus

Cách phòng tránh:

 Không nên vào các trang web cung cấp các phần mềm crack, hack, các trang web đen, độc hại

 Không nên mở ổ USB bằng cách nháy kép vào biểu tượng ổ đĩa

Mô tả kỹ thuật:

 Copy bản thân thành file có tên "wuauc1t.exe" và "Explorer.exe" vào thư mục %SysDir%

 Copy bản thân thành file có tên "MSDN.pif" kèm theo file autorun.inf vào tất cả các ổ đĩa

 Ghi giá trị "IEXPLORER" vào key HKLM\ \Run, sửa giá trị "Shell" trong key HKLM\ \Winlogon để virus được kích hoạt mỗi khi windows khởi động

 Ghi key debugger để chạy file của virus thay vì chạy các file :

360rpt.EXE, 360safe.EXE, 360tray.EXE, AVP.EXE, AvMonitor.EXE, CCenter.EXE, IceSword.EXE, Iparmor.EXE, KVMonxp.kxp,

KVSrvXP.EXE, KVWSC.EXE, Navapsvc.EXE, Nod32kui.EXE,

KRegEx.EXE, Frameworkservice.EXE, Mmsk.EXE, Wuauclt.EXE,

Ast.EXE, WOPTILITIES.EXE, Regedit.EXE, AutoRunKiller.EXE,

VPC32.EXE, VPTRAY.EXE, ANTIARP.EXE, KASARP.EXE, ~.EXE, RAS.EXE, Runiep.EXE, GuardField.EXE, GFUpd.EXE

 Tắt các process : VsTskMgr.exe, Runiep.exe, RAS.exe,

UpdaterUI.exe, TBMon.exe, KASARP.exe, scan32.exe, VPC32.exe,

VPTRAY.exe, ANTIARP.exe, KRegEx.exe, KvXP.kxp, kvsrvxp.kxp,

kvsrvxp.exe, KVWSC.EXE, Iparmor.exe, 360rpt.EXE, CCenter.EXE,

RAVMON.EXE, RAVMOND.EXE,

GuardField.exe, Ravxp.exe, GFUpd.exe

 Dừng các service : McShield, KWhatchsvc, KPfwSvc, Symantec AntiVirus, Symantec AntiVirus Definition Watcher

McAfee Framework, Norton AntiVirus Server

 Xóa key không cho người dùng khởi động vào chế độ Safe mode

 Ghi key không cho người dùng hiển thị các file có thuộc tính ẩn và hệ thống

 Tự động update bản thân từ link : http://xni[removed]i.com/mm.exe

 Download malware từ các link :

http://xni[removed]i.com/1.exe

http://xni[removed]i.com/10.exe

 Các malware này bao gồm:

o Trojan giả mạo gateway để phát tán virus qua link độc

(http://w.xnibi.co[removed]/index.gif, )

o Downloader (tải về rất nhiều malware khác)

o Keylogger (ăn cắp mật khẩu Games Online)

o Adware (popup các trang web quảng cáo, sửa StartPage của IE),

Chuyên viên phân tích : Nguyễn Công Cường

24 Bkav 1938 - Phát hành lần thứ 2 ngày 11/10/2008, cập nhật SecretTL,

FakeRasA, IEBHOD, SchedC, StupiGamesSF, AmvooA

Malware cập nhật mới nhất:

Nguy cơ:

 Làm giảm mức độ an ninh của hệ thống

 Lấy cắp thông tin cá nhân

Hiện tượng:

 Sửa registry

Cách thức lây nhiễm:

 Phát tán qua trang web

 Tự động lây nhiễm qua USB

Cách phòng tránh:

 Không nên vào các trang web cung cấp các phần mềm crack, hack, các trang web đen, độc hại

 Không nên mở ổ USB bằng cách nháy kép vào biểu tượng ổ đĩa

Mô tả kỹ thuật:

 Tự copy bản thân thành các file :

%WINDIR %\userinit.exe

%SYSDIR%\system.exe

 Tạo key:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

"Userinit"=Reg_SZ"%WINDIR%\userinit.exe"

để virus chạy lúc khởi động máy

 Ghi lại quá trình gõ phím của người sử dụng (keylog) vào file

%WINDIR%\kdcoms.dll

 Copy bản thân thành file có tên : "secret.exe" kèm theo file

autorun.inf vào các ổ đĩa

Chuyên viên phân tích : Cao Minh Phương

25 Bkav1950 - Phát hành lần thứ 2 ngày 17/10/2008, cập nhật Pharoh,

YurFake, KxvoMJ, Rnet3XD, SpyBotAE, OnGameJBF

Malware cập nhật mới nhất:

Nguy cơ:

 Làm giảm mức độ an ninh của hệ thống

 Hỏng các file thực thi của hệ thống

Hiện tượng:

 Sửa registry

 Không hiện được các file có thuộc tính ẩn

 Kích thước các file thực thi bị tăng lên

Cách thức lây nhiễm:

 Phát tán qua trang web

 Tự động lây nhiễm vào USB

 Phát tán qua email

Cách phòng tránh:

 Không nên vào các trang web cung cấp các phần mềm crack, hack, các trang web đen, độc hại

 Không nên mở ổ USB bằng cách nháy kép vào biểu tượng ổ đĩa

 Không mở các email lạ, không rõ nguồn gốc

Mô tả kỹ thuật:

 Copy bản thân thành các file sau:

%SystemDrive%\Documents and Settings\tazebama.dl_

%SystemDrive%\Documents and Settings\hook.dl_

%UserProfile%\Start Menu\Programs\Startup\zPharoh.exe

 Tạo file %SystemDrive%\Documents and Settings\tazebama.dll

 Tạo các file sau:

%SystemDrive%\Documents and Settings\[USER NAME]\Application Data\tazebama\tazebama.log

%SystemDrive%\Documents and Settings\[USER NAME]\Application Data\tazebama\zPharaoh.dat

 Thu thập các địa chỉ email trong máy tính và gửi kèm bản thân thành các file đính kèm theo email dưới những tên sau:

windows.rar

office_crack.rar

serials.rar

passwords.rar

windows_secrets.rar

source.rar

imp_data.rar

documents_backup.rar

backup.rar

MyDocuments.rar

HpphmfUppmcbsOpujgjfs/fyf

GoogleToolbarNotifier.exe

PanasonicDVD_DigitalCam.exe

Antenna2Net.exe

RadioTV.exe

Microsoft MSN.exe

Sony Erikson DigitalCam.exe

IDE Conector P2P.exe

Windows Keys Secrets.exe

 Tao các file sau vào thư mục gốc các ổ đĩa

zPharaoh.exe

autorun.inf

 Copy vào thư mục %UserProfile%\Local Settings\Application Data\Microsoft\CD Burning 2 file:

zPharaoh.exe

autorun.inf

để khi ghi đĩa sẽ kèm theo worm

 Lây nhiễm vào các file thực thi có trong hệ thống

 Có thể mã hóa các file có phần mở rộng sau :

.cpp

.mdb

.hpl

.pdf

.rar

Chuyên viên phân tích : Nguyễn Ngọc Dũng