Thủ đoạn của bọn này vẫn khá quen thuộc thôi(Báo cáo giả là đã phát hiện malware->Yêu cầu nạn nhân phải đăng kí bản quyền phần mềm) nhưng đưa ra để mọi người tham khảo
1.VirusMelt:
-Nó hiển thị cảnh báo giả là đã phát hiện các mã độc:
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.1.jpg"]
[/URL]
Chương trình báo cáo sai các mã độc trên máy tính nạn nhân:
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.2.jpg"]
[/URL]
Các mã độc mà nó báo đã phát hiện là:
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.3.jpg"]
[/URL]
Bắt nạn nhân phải thanh toán để có key bản quyền phần mềm:
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.4.jpg"]
[/URL]
Nó cũng kết nối đến địa chỉ sau và có thể tải về một số file khác:
[http://]updvms.cn:9666/Instruct[REMOVED]
Khi đc thực thi,nó sẽ tạo một số file sau:
Tiếp theo,nó thêm khoá sau vào registry để đảm bảo mình đc chạy mỗi khi Windows khởi động:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Virus Melt" = "[đường đẫn tới file thực thi] /s"
Rồi nó tạo thêm các khoá:
Tạo thêm các khoá khác vào registry:
2.SystemGuard2009
Báo cáo giả các phần mềm độc hại trên máy tính nạn nhân:
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031311-4206-99.1.JPG"]
[/URL]
Vẫn là chiêu bắt người dùng phải có key bản quyền đăng kí để loại bỏ các phần mềm độc hại:
[URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031311-4206-99.2.JPG"]
[/URL]
Khi chạy nó tạo ra các file sau:
Nó cũng tạo thêm thư mục:
%CurrentFolder%\quarantine
Tiếp theo nó đăng kí khoá sau để để đc chạy mỗi khi Windows khởi động:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"systemguard" = "[đường dẫn tới file thực thi]"
Nguồn: shoptinhoc.com
1.VirusMelt:
-Nó hiển thị cảnh báo giả là đã phát hiện các mã độc:
[URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"][URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"] |
| [/URL] |
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.1.jpg"]
[/URL]Chương trình báo cáo sai các mã độc trên máy tính nạn nhân:
| [URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"][URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"] |
| [/URL] |
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.2.jpg"]
[/URL]Các mã độc mà nó báo đã phát hiện là:
- BAT.Looper
- Packed.Win32.PolyCrypt
- SpamTool.Win32.Delf.h
- Trojan-IM.Win32.Faker.a
- Trojan-PSW.BAT.Cunter
- Trojan-PSW.VBS.Half
- Trojan-PSW.Win32.Antigen.a
- Trojan-PSW.Win32.Delf.d
- Trojan-PSW.Win32.Dripper
- Trojan-PSW.Win32.Fantast
- Trojan-PSW.Win32.Hooker
- Trojan-SMS.J2ME.RedBrowser.a
- Trojan-Spy.HTML.Bankfraud.ix
- Trojan-Spy.HTML.Bankfraud.ra
- Trojan-Spy.HTML.Bayfraud.hn
- Trojan-Spy.HTML.Citifraud
- Trojan-Spy.HTML.Paypal.hn
- Trojan-Spy.HTML.Sunfraud.a
- Trojan-Spy.Win32.WMPatch
- Trojan.BAT.AnitV.a
- Virus.BAT.Gray.705
- Virus.BAT.IBBM.ClsV
- Virus.Win32.Faker.a
| [URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"][URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"] |
| [/URL] |
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.3.jpg"]
[/URL]Bắt nạn nhân phải thanh toán để có key bản quyền phần mềm:
| [URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"][URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"] |
| [/URL] |
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031117-4351-99.4.jpg"]
[/URL]Nó cũng kết nối đến địa chỉ sau và có thể tải về một số file khác:
[http://]updvms.cn:9666/Instruct[REMOVED]
Khi đc thực thi,nó sẽ tạo một số file sau:
- C:\Documents and Settings\All Users\Application Data\System Data\vd952342.bd
- C:\Documents and Settings\All Users\Application Data\System Data\mscfg.ini
Tiếp theo,nó thêm khoá sau vào registry để đảm bảo mình đc chạy mỗi khi Windows khởi động:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run\"Virus Melt" = "[đường đẫn tới file thực thi] /s"
Rồi nó tạo thêm các khoá:
- HKEY_CLASSES_ROOT\CLSID\{3F2BBC05-40DF-11D2-9455-00104BC936FF}
- HKEY_CLASSES_ROOT\[tên file thực thi].DocHostUIHandler
Tạo thêm các khoá khác vào registry:
- HKEY_CLASSES_ROOT\CLSID\{3F2BBC05-40DF-11D2-9455-00104BC936FF}\LocalServer32\"Default" = "[PATH TO EXECUTABLE]"
- HKEY_CLASSES_ROOT\CLSID\{3F2BBC05-40DF-11D2-9455-00104BC936FF}\ProgID\"Default" = "[EXECUTABLE FILE NAME].DocHostUIHandler"
- HKEY_CLASSES_ROOT\[EXECUTABLE FILE NAME].DocHostUIHandler\"Default" = "Implements DocHostUIHandler"
- HKEY_CLASSES_ROOT\[EXECUTABLE FILE NAME].DocHostUIHandler\Clsid\"Default" = "{3F2BBC05-40DF-11D2-9455-00104BC936FF}"
- HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download\"CheckExeSignatures" = "no"
- HKEY_\Software\Microsoft\Internet Explorer\Download\"RunInvalidSignatures" = "1"
2.SystemGuard2009
Báo cáo giả các phần mềm độc hại trên máy tính nạn nhân:
| [URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"][URL="http://forum.kaspersky.com.vn/highslide/graphics/warning.gif"] |
| [/URL] |
[/URL][URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031311-4206-99.1.JPG"]
[/URL]Vẫn là chiêu bắt người dùng phải có key bản quyền đăng kí để loại bỏ các phần mềm độc hại:
[URL="http://www.symantec.com/content/en/us/global/images/threat_writeups/2009-031311-4206-99.2.JPG"]
[/URL]Khi chạy nó tạo ra các file sau:
- %CurrentFolder%\conf.cfg
- %CurrentFolder%\mbase.vdb
- %CurrentFolder%\quarantine.vdb
- %CurrentFolder%\queue.vdb
- %CurrentFolder%\vbase.vdb
Nó cũng tạo thêm thư mục:
%CurrentFolder%\quarantine
Tiếp theo nó đăng kí khoá sau để để đc chạy mỗi khi Windows khởi động:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"systemguard" = "[đường dẫn tới file thực thi]"
Tổng hợp bởi Anhnd
Nguồn: shoptinhoc.com
