31.10.2012  Новости, Безопасность

Компания «Доктор Веб» сообщила о распространении троянской программы Trojan.Proxy.23012, помогающей массово рассылать спам. Этот троянец обладает целым рядом особенностей. Он загружается на инфицированные компьютеры с использованием других вредоносных программ, в частности Trojan.PWS.Panda.2395. Исполняемый файл троянца сжат с использованием того же вирусного упаковщика, что и троянцы семейства Trojan.PWS.Panda, также известные под именами Zeus и Zbot, поэтому нередко он детектируется именно этой сигнатурной записью. Проникнув в ОС, Trojan.Proxy.23012 распаковывается и загружается в память, после чего начинается процедура его инсталляции. В какую папку будет установлена вредоносная программа, зависит от версии ОС и от того, под какими правами был запущен установщик. В любом случае инсталлятор модифицирует системный реестр с целью обеспечить автоматический запуск троянца в процессе загрузки Windows. Также программа пытается отключить систему контроля учетных записей пользователей. Наконец, на финальном этапе установки троянец встраивается в процесс explorer.exe. Ботнет, состоящий из инфицированных Trojan.Proxy.23012 компьютеров, используется злоумышленниками в качестве системы управления прокси-серверами, через которые по команде осуществляется рассылка почтового спама. Установив соединение с удаленным командным центром, Trojan.Proxy.23012 по команде открывает прокси-туннель, посредством которого вирусописатели могут пользоваться протоколами SOCKS5, SOCKS4, HTTP ... читать далее.