20 ответов в этой теме

[News Robot]

5 июня 2009 года

Компания «Доктор Веб» - российский разработчик средств информационной
безопасности – сообщает о появлении в Интернете опасного троянца,
уничтожающего все файлы и папки на зараженном компьютере. Первые
случаи инфицирования Trojan.KillFiles.904 зафиксированы в начале июня
2009 года.

Проникая в компьютер жертвы, Trojan.KillFiles.904 перебирает локальные
и съемные диски в порядке от Z до A. В найденном диске троянец
начинает удалять папки и файлы, перебирая их названия по алфавиту.
Если удалить файл не удается, к примеру, по причине его использования,
троянец делает его скрытым. Особая опасность заключается в том, что
действия Trojan.KillFiles.904 касаются всех файлов и папок,
находящихся на жестком диске компьютера жертвы, за исключением
системных. Таким образом, пользователь может потерять все данные на
дисках, при этом его операционная система продолжит свою работу.

Уникальным для современных вредоносных программ свойством данного
троянца является нанесение максимального урона пользователю. В отличие
от получивших в последнее время широкое распространение
программ-вымогателей, Trojan.KillFiles.904 не просит о каких-либо
финансовых вложениях и не пытается что-либо украсть – он просто
уничтожает всю информацию, хранящуюся в зараженной системе.

Можно предположить, что данный троянец, появившийся в начале июня 2009
года, продолжает традицию вируса Win32.HLLW.Kati, также известного как
Penetrator, который повреждает файлы форматов Microsoft Word и Excel,
а также фотографии и мультимедийные файлы. За тем исключением, что
Trojan.KillFiles.904 представляет еще большую угрозу.

В связи с опасностью инфицирования Trojan.KillFiles.904, компания
«Доктор Веб» рекомендует использовать исключительно лицензионное
антивирусное ПО с последними обновлениями.


Читать оригинал

[Black Angel]

Что-то не нашел описание в базе. Но если мы его ловим, значит все хорошо.

[Valery Ledovskoy]

Что-то не нашел описание в базе. Но если мы его ловим, значит все хорошо.

А в новости недостаточное описание?

[Borka]

Что-то не нашел описание в базе. Но если мы его ловим, значит все хорошо.

А в новости недостаточное описание?

Ну, например, нет механизма проникновения. То есть после "Проникая в компьютер жертвы..." и дальше - понятно, а вот откуда и как "Проникая в компьютер жертвы..." - нема.

[Alexander Goryachev]

А когда он начинает удалять? Сразу после запуска или сидит некоторое время? Если выжидает, то какие способы сокрытия использует?

[Grigory Lisin]

А когда он начинает удалять? Сразу после запуска или сидит некоторое время? Если выжидает, то какие способы сокрытия использует?

Сразу начинает удалять...

[Alexander Goryachev]

Grigory Lisin

А когда он начинает удалять? Сразу после запуска или сидит некоторое время? Если выжидает, то какие способы сокрытия использует?


Сразу начинает удалять...

Мда...

[partizanen]

пока нет сигнатур в базе - пути проникновения сабжа в студию.а то сами себе буратино окажемся

[headliner]

Кто сказал, что его нет в базах? Если вышла новость значит он точно ловится!

[Black Angel]

пока нет сигнатур в базе - пути проникновения сабжа в студию.а то сами себе буратино окажемся

Сигнатуры в базе должны быть, раз зверь известен и ему дано имя Trojan.KillFiles.904

[sergeyko]

пока нет сигнатур в базе - пути проникновения сабжа в студию.а то сами себе буратино окажемся

А думать в студии не принято?

[sleb]

И всё таки действительно очень хочется узнать про механизмы проникновения и другие подробности (если известно). Это же не какой-нибудь очередной ботнет или sms-вымогатель, зараза крайне серьёзная по последствиям для отдельно взятой машины, хочется знать о ней побольше...

[pig]

Я так понимаю, что зверь не самоходный. Его окольными путями впингвинивают.

[Пол Банки]

вот что интересует в первую очередь - можно ли как-то несигнатурно пресечь попытки вандалов. планы компании?
а то знаете ли, начни эта зараза появляться чаще и вся антивирусная иддилия рухнет...
запоминается худшее, вирусов было достаточно, но "поцелуй негра" не забыть...

[sergeyko]

вот что интересует в первую очередь - можно ли как-то несигнатурно пресечь попытки вандалов. планы компании?

Есть идеи, как отличить юзера от сетупа или апдейт винды от вируса? Несигнатурно, разумеется.

[Пол Банки]

вот что интересует в первую очередь - можно ли как-то несигнатурно пресечь попытки вандалов. планы компании?

Есть идеи, как отличить юзера от сетупа или апдейт винды от вируса? Несигнатурно, разумеется.

понятия не имею.
из вопроса на вопрос понял, что дело дрянь и заниматься им никто не будет. так?

[Alexander Goryachev]

sergeyko

Цитата (сергейка @ 15/06/2009 14:48) *
вот что интересует в первую очередь - можно ли как-то несигнатурно пресечь попытки вандалов. планы компании?

Есть идеи, как отличить юзера от сетупа или апдейт винды от вируса? Несигнатурно, разумеется.

А если так? В родительский контроль/другой модуль добавляем функцию контроля операций с файлами. Например, включение определённого режима при выходе в интернет (т.к. получить удаляющего всё трояна оттуда легче; ну для примера возьмём интренет ). Заранее в параметрах режима указываем файлы и папки, которые будут мониториться. При попытке удаления файлов и папок это действие будет блокироваться, а на экран выводиться та же самая капча. Да, скорее всего, это будет раздражать, но много ли автоматических операций удаления (самой ОС) происходит во время обычной работы за компьютером? Тем более, мы в настройках прописали определённые файлы и папки. А нам вышло предупреждение как раз о попытке удаления именно их. Так что возможно сработает.

[Пол Банки]

лично меня система по теме топика не интересна - архивы есть. а вот данные...тут или винт на 500 мб покупать надо либо вполне хватит капчи/пароля на удаление папок с данными...

[sergeyko]

sergeyko

Цитата (сергейка @ 15/06/2009 14:48) *
вот что интересует в первую очередь - можно ли как-то несигнатурно пресечь попытки вандалов. планы компании?

Есть идеи, как отличить юзера от сетупа или апдейт винды от вируса? Несигнатурно, разумеется.

А если так? В родительский контроль/другой модуль добавляем функцию контроля операций с файлами. Например, включение определённого режима при выходе в интернет (т.к. получить удаляющего всё трояна оттуда легче; ну для примера возьмём интренет ). Заранее в параметрах режима указываем файлы и папки, которые будут мониториться. При попытке удаления файлов и папок это действие будет блокироваться, а на экран выводиться та же самая капча. Да, скорее всего, это будет раздражать, но много ли автоматических операций удаления (самой ОС) происходит во время обычной работы за компьютером? Тем более, мы в настройках прописали определённые файлы и папки. А нам вышло предупреждение как раз о попытке удаления именно их. Так что возможно сработает.

Ну все, кроме оповещения и так можно сделать. Защитить папки родконтролем и никакие килфайлз вам не страшны.

[Alexander Goryachev]

sergeyko

Ну все, кроме оповещения и так можно сделать. Защитить папки родконтролем и никакие килфайлз вам не страшны.

Так неинтересно. Если их текущим способом защитить, то к ним вообще доступа не будет. А так и доступ есть, и защита.