Служба Рассылок Городского Кота (comp.soft.av.ezheki) : Рассылка : Subscribe.Ru

Служба Рассылок Городского Кота

Статистика

Подписаться Бесплатная «Серебряная» новостная рассылка Подписчиков 5.305 RSS

← Декабрь 1999 →
	1	2	3	4	5
6	7	8	9	10	11	12
13	14	15	16	17	18 18.12.1999 17:12:05 20:27:52	19
20	21	22	23	24	25	26
27	28	29	30	31

За последние 60 дней ни разу не выходила

Сайт рассылки: http://prool.kharkov.org/ezheki.html
Открыта: Давно
Адрес автора: comp.soft.av.ezheki-owner@subscribe.ru

Автор

Пруль

5.305 подписчиков
0 за неделю

← Все выпуски →

← Декабрь 1999 →

18 18.12.1999 17:12:05 20:27:52

Служба Рассылок Городского Кота

Антивирусное обозрение "Ежики"

Обзор новых антивирусов, новости из мира вирусологии, производители антивирусного ПО, новинки вирусов и многое другое..
Антивирусная Лаборатория "Дизет" - http://dizet.com.ua

Win95.Babylonia - новый "подарок" от полиморфного Деда Мороза!

"Лаборатория Касперского" обнаружила новый вирус. Win95.Babylonia является резидентным паразитическим Windows вирусом с функциями Интернет-червя и "троянского коня" несанкционированного удаленного администрирования (Backdoor). Вирус внедряется в систему под управлением Windows 95/98 и заражает несколько типов файлов: PE EXE файлы (исполняемые файлы Windows), файлы помощи (HLP) Windows. Кроме
того, он заражает библиотеку работы с сетями WSOCK32.DLL и обладает возможностями несанкционированной загрузки из Интернет дополнительных вирусных модулей (virus plug-ins). Последнее обстоятельство дает возможность вирусу получить практически полный контроль над зараженной системой. Вирус использует специфические команды Windows 95/98, что делает его неработоспособным на компьютерах под управлением Windows NT и Windows 2000. Win95.Babylonia содержит ряд особенностей, используемые другими вирусами: распространение по Интернет (I-Worm.Happy), заражение файлов помощи Windows (WinHLP.Demo), инсталляция в памяти (Win95.CIH) и некоторые другие. После запуска зараженного EXE-файла, вирус внедряется в память Windows, записывает на диск дополнительный файл и возвращает управление основной программе. Для внедрения в память вирус просматривает ядро Windows, получает необходимые функции и инсталлирует себя как резидентный системный драйвер (VxD). Для этого он выделяет блок Windows VxD памяти, помещает туда свою копию и перехватывает низкоуровневые функции доступа к файлам (IFS API). Для переключения режима своей работы с уровня приложения на уровень системных драйверов (т.е. с Ring3 на Ring0) вирус использует стандартную уловку с IDT (Interrupt
Descriptor Table). Затем Win95.Babylonia создает файл BABYLONIA.EXE длиной 4 килобайта с корневом каталоге диска C: и запускает его на выполнение. Этот файл является вирусной компонентой, которая
выполняется как самостоятельное приложение и реализует его дополнительные возможности. В теле вируса файл находится в сжатом виде, где занимает не более 2 килобайт. В процессе инсталляции в память, вирус сканирует список системных драйверов в поисках антивирусных мониторов AVP9* и SPID* и изменяет их таким образом, что они теряют возможность открывать файлы для проверки. Данная процедура имеет ошибку, что вызывает системный сбой при попытке изменить драйвер AVP Monitor. Таким образом, вирус не может инсталлировать себя в память в присутствии этой программы. При открытии зараженного HLP-файла Windows обрабатывает встроенный в его вирусный скрипт и выполняет все указанные в нем инструкции. При помощи неочевидного приема одна из вирусных инструкций выполняет как код (как обычную
программу Windows) данные, которые указаны в этой инструкции. Таким образом скрипт вируса переключает себя из режима скрипта HLP-файла в режим обычного приложения Windows. Выполняемый при этом код является "стартером" вируса, который при помощи полиморфного кода реконструирует главную процедуру вируса - процедуру заражения - и передает на нее управление. Процедура заражения во многом напоминает
другие Win32-вирусы: она сканирует ядро Windows (KERNEL32.DLL), ищет в нем адреса необходимых вирусу функций и вызывает подпрограмму поиска HLP-файлов Windows и внедрения в них. При заражении конкретного HLP-файла вирус разбирает его структуру, ищет секцию скриптов "SYSTEM", записывает в нее необходимые инструкции и дополняет их полиморфным "стартером". В процессе заражения библиотеки WSOCK32.DLL вирус получает доступ к функции "SEND" и внедряет в нее процедуру, которая посылает резидентной копии вируса инструкцию на распространение по сети Интернет. После загрузки зараженной библиотеки WSOCK32.DLL вирус просматривает все отсылаемые в Интернет сообщения и добавляет к ним зараженные файлы. В случае, если сообщение уже имеет вложенные файлы, то вирус все равно добавляет еще один, так что всего их может быть два и более. Вирус рассылает исполняемым Win32 PE файл с именем X-MAS.EXE. В зависимости от текущего месяца вирус пытается перебирать шесть различных вариантов названия рассылаемых файлов. Однако, по причине ошибки, это ему не удается, так что имя файла
всегда X-MAS.EXE

Этот файл занимает около 17 килобайт дискового пространства (6Кб основная программа и 11 Кб - тело вируса. В принципе, вирус не заражает файлы длиной менее 8Кб, но в данном случае он делает "исключение"). При запуске файла вирус инсталлируется в систему и возвращает управление основной программе. Эта программа открывает все файлы в текущей директории, Windows и системной директории Windows. Поскольку вирус уже находится в памяти, то все эти файлы подвергаются заражению. Когда вирус внедряется в систему, он создает в корневом каталоге диска C: файл BABYLONIA.EXE, куда записывает код троянской программы (backdoor), около 4 килобайт длиной. Данная программа является самостоятельным приложением и не связана с вирусом. Он даже не заражает ее, поскольку запрограммирован на заражение файлов длиной более 8 килобайт. Несмотря на это, данная троянская программа является даже более функциональной, нежели сам вирус. После запуска файла BABYLONIA.EXE, программа регистрирует себя в качестве "сервиса" (т.е. ее нельзя увидеть в списке активных задач). Затем она копирует себя в системную директорию Windows под именем KERNEL32.EXE (название очень похоже на имя стандартной библиотеки KERNEL32.DLL) и регистрирует этот файл в секции автозагрузки системного реестра.

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

После этого программа связывается по сети Интернет с хакерским WEB сайтом, базирующимся в Японии, и загружает оттуда файл "vecna/virus.txt". Данный файл содержит список дополнительных модулей и их местонахождение, которые могут использоваться троянской программой. Затем она поочередно загружает эти файлы из Интернет. В случае, если в данный момент нет соединения с Интернет (т.е. указанный
(указанные) в файле virus.txt сайт (сайты) недоступны), то "троянец" остается в памяти компьютера и каждую минуту пытается получить загрузить эти дополнительные модули. Только когда файлы полностью
загружены и запущены, "троянец" выгружается из памяти.

Источник: Антивирусная Лаборатория "Дизет", http://dizet.com.ua

Новый Doctor Web

На этой неделе "Диалог Наука" выпустила новую версию сканера Dr. Web. В новой версии программы Doctor Web реализована проверка памяти виртуальных машин в среде операционной системы Windows NT. Выпущенная 6 дек с.г. версия 4.15 Doctor Web умеет проверять память не только в Windows 95/98, что было реализовано еще в версии 4.12, но и в Windows NT. Реализована как проверка памяти всех запущенных процессов, так и проверка памяти всех виртуальных машин. О прочих технологических новинках, реализованных в Doctor Web, вы можете познакомиться на сервере ДиалогНауки:
http://www.dials.ru/dsav_toolkit/new_tecnology.htm

В ближайшее время "Диалог Наука" в Doctor Web планирует реализовать проверку системной памяти Windows NT; кроме того, готовится к выпуску резидентный сторож SpIDer Guard для Windows NT.

Источник: Антивирусная Лаборатория "Дизет", http://dizet.com.ua

MiniZip читает новости

По сообщению агенства InfoArt очередной жертвой вируса MiniZip стала австралийская телевизионная сеть Channel Nine, этот вирус попал в компьютерные системы ее службы новостей. Письмо, содержащее вирус,
открыл 1 декабря один из служащих Channel Nine, после чего были обнулены файлы на его компьютере, а вирус отправился гулять дальше по почтовым ящикам телекомпании. И прежде чем его обнаружили и
обезвредили, он успел заразить компьютеры службы новостей.

Источник: Антивирусная Лаборатория "Дизет", http://dizet.com.ua

W32/Mypics.worm - новый опасный червь

Антивирусный исследовательский центр компании Symantec сообщил об обнаружении нового вируса-червя, получившего название W32/Mypics.worm, который переформатирует жесткие диски компьютеров и в качестве
домашней страницы браузера Internet Explorer ставит сайт http://www.geocities.com/siliconvalley/vista/8279/index.html из разряда "только для взрослых". Вирус W32/Mypics.worm распространяется по электронной почте в присоединенном файле. После заражения вирус пытается разослать себя с помощью почтовой программы Microsoft Outlook по 50 адресам из адресной книги. Кроме того, 1 января 2000 г. этот вирус перепишет контрольные суммы файлов в ПЗУ, так что после перезагрузки системы пользователь может подумать, что проблемы связаны с ошибкой 2000 года в BIOS компьютера. После перезагрузки компьютера вирус попытается переформатировать жесткий диск компьютера и удалить всю информацию. Вирус приходит в письме с пустой строкой в "теме". В теле письма имеется сообщение "Here's some pictures for you!" ("Вот
несколько картинок для вас!") и присоединенный файл Pics4You.exe.

Источник: Антивирусная Лаборатория "Дизет", http://dizet.com.ua

Обзор подготовлен по материалам: Антивирусной Службы Новостей (АСН)
http://dizet.com.ua/news/

Автор обзора: Андрей Каримов, Антивирусная Лаборатория "Дизет"
http://dizet.com.ua
e-mail:info@dizet.com.ua

http://www.citycat.ru/ E-mail: citycat@citycat.ru

В избранное

{#template MAIN} <div id="loginForm" style="display:none;" class="subscriberu_popup"> <div class="popup_register"> {#include js_tmpl_auth_reg_tab} {#if $P.login_register_tab == 1} <form class="authentication-form" method="post" action="/MEMBERLOGIN_authen_cred"> <dl class="rg_block_options"> <dt id="js_tap_panel_auth"> <h1>Войти на сайт</h1> {* {#include js_tmpl_auth_reg_button} *} {#include js_tmpl_auth_reg_action} <hr class="logreg_line noPhones"> <div class="logreg_descr noPhones"><p>{#include js_tmpl_auth_reg_descr} </p></div> <div class="logreg_advice noPhones"> Если вы еще не с нами, то начните с <a href="#" onclick="rgNav('js_tab_reg');return false;" class="dashed" data-func="registr">регистрации</a> </div> <br><br> <a class="dashed auth-enter" href="/manage/author/"><b>Вход для авторов</b></a> </dt> </dl> </form> {#/if} {#if $P.login_register_tab == 2} <div class="rg_block_options"> <div id="js_tap_panel_auth"> <h1>Регистрация</h1> <div class="social_reg"> {* <div class="rg_description">{#include js_tmpl_soc_auth_reg_descr}</div> *} {#include js_tmpl_auth_reg_soc} <div class="rg_soc_auth_agree">{#include js_tmpl_auth_reg_agree}</div> </div> <div class="subscribe_reg"> {* <div class="rg_description"> #include js_tmpl_auth_reg_descr </div> *} {#include js_tmpl_auth_reg_action} </div> {* {#include js_tmpl_auth_reg_button} *} <div class="clr"> </div> <hr class="logreg_line noPhones"> <div class="logreg_descr noPhones">{#include js_tmpl_auth_reg_descr} {#include js_tmpl_soc_auth_reg_descr} </div> </div> </div> {#/if} </div> {* <div class="gray_bg register_shadow"></div> *} </div> {#/template MAIN} {#template js_tmpl_auth_reg_tab} <ul class="rg_nav"> <li id="js_tab_auth" class="{#if $P.login_register_tab == 1} rg_active_nav {#/if} rg_first_nav"><a onclick="rgNav('js_tab_auth');return false;" href="">Вход на сайт</a></li> <li id="js_tab_reg" class="{#if $P.login_register_tab == 2} rg_active_nav {#/if}"><a onclick="rgNav('js_tab_reg');return false;" href="">Регистрация </a></li> </ul> <span onclick="hidebo();" class="rg_closed"> </span> {#/template js_tmpl_auth_reg_tab} {#template js_tmpl_auth_reg_action} {#if $P.login_register_tab == 1} {#include js_tmpl_auth_reg_soc} {#/if} <div class="rg_forms"> <input type="hidden" id="login_register_destination" value="{$P.login_register_destination}"/> {#if $P.login_register_tab == 1} <div class="rg_for_input"> <span class="rg_text_inner">E-mail или код подписчика</span> <input id="credential_0" class="js_keydown_selector rg_input_text" data-js_submit="no" data-js_next_input_name="credential_1" name="" type="text" /> </div> <div class="rg_for_input"> <span class="rg_text_inner">Пароль</span> <input id="credential_1" class="js_keydown_selector rg_input_text" data-js_submit="yes" data-js_action="js_loginFormBut" name="" type="password" onkeyup="showAttention(this,!!window.event.shiftKey)" /> <span class="pswd_attention" id="attention_pswd"> <span class="icon_attention"></span> <span class="pswd_attention-text" id="attention-text_pswd1">Русская раскладка клавиатуры!</span> <span class="pswd_attention-text" id="attention-text_pswd2">У вас включен Caps Lock!</span> <span class="pswd_attention-text" id="attention-text_pswd3">У вас включен Caps Lock и русская раскладка клавиатуры!</span> </span> </div> <div class="rg_for_input input-alien"> <span class="chk noPhones"><input id="chk_alien" name="" type="checkbox" /></span><label for="chk_alien" class="noPhones"> Чужой компьютер</label> <a class="forgot_pass" href="/member/totalrecall">Забыли пароль?</a> </div> <div class="rg_for_input"> <em id="auth_msg" class="reg_error"></em> <input id="lf_typeauthid" value="email" type="hidden"> <input type="submit" class="button button-red logreg_submit" id="js_loginFormBut" value="Войти">  <div class="loading loading-cover" style="display: none;"><div class="loader"></div></div> </div> {#/if} {#if $P.login_register_tab == 2} <div class="rg_for_input"> <span class="rg_text_inner">E-mail</span> <input id="arfemail" class="js_keydown_selector rg_input_text" name="" type="text" data-js_submit="yes" data-js_action="js_regFormBut"/> </div> <div class="rg_for_input rg_set_lineh rg_for_input_wide"> <label class="js_tap_panel_checkbox"> <span class="chk"><input name="" id='js_tap_panel_checkbox_terms' type="checkbox" data-js_submit="yes" /></span> Я ознакомился и согласен с <a class="link_txd logreg_accLink" href="/faq/vereinbarung.html">условиями сервиса Subscribe.ru</a> </label> <br /> <label class="js_tap_panel_checkbox"> <span class="chk"><input name="" id='js_tap_panel_checkbox_personal' type="checkbox" data-js_submit="yes" /></span> Нажимая на кнопку "Готово!", я даю <a class="link_txd logreg_accLink" href="/faq/persverordnung.html">согласие на обработку персональных данных</a> </label> </div> {* <div style="float: left;position: absolute;left: 11em;"> <img src="http://www.kupivip.ru/images/vip/logo.png?1604" style="width: 86px; vertical-align: middle;display: block;"> </div> <div class="rg_for_input rg_set_lineh"> <label class="js_tap_panel_checkbox"><input name="" id="js_tap_panel_checkbox_kupivip" type="checkbox" data-js_submit="yes"> Я хочу получать новости о скидках на одежду</label> </div> *} <div class="rg_for_input"> <em id="reg_msg" class="reg_error rg_for_input_wide"></em> <em id="reg_msg2" class="reg_error rg_for_input_wide"></em> <input id="rf_typeauthid" value="email" type="hidden"> <a class="button button-red logreg_submit" id="js_regFormBut" href="#">Готово!</a> <div class="loading loading-cover" style="display: none;"><div class="loader"></div></div> </div> {#/if} </div> {#/template js_tmpl_auth_reg_action} {#template js_tmpl_auth_reg_agree} <div class="rg_for_input rg_set_lineh rg_for_input_wide"> <label class="js_tap_panel_checkbox"> <span class="chk"><input name="" id='js_tap_panel_checkbox_terms_reg' type="checkbox" data-js_submit="yes" /></span> Я ознакомился и согласен с <a class="link_txd logreg_accLink" href="/faq/vereinbarung.html">условиями сервиса Subscribe.ru</a></label> <em id="reg_msg_soc" class="reg_error rg_for_input_wide"></em> </div> {#/template js_tmpl_auth_reg_agree} {#template js_tmpl_auth_reg_button} <div class="rg_butons_socials"> {#if $P.login_register_tab == 1} <a class="rg_btn_soc rg_bs_01 js_tap_panel_selector" action="auth_email" href="#"><span><i></i>Email</span></a> <a class="rg_btn_soc rg_bs_01 js_tap_panel_selector" action="auth_openid" href="#"><span><i></i>OpenID</span></a> <a class="rg_btn_soc rg_bs_02 js_tap_panel_selector" action="auth_vkontakte" href="#"><span><i></i>Вконтакте</span></a> <a class="rg_btn_soc rg_bs_02 js_tap_panel_selector" action="auth_mailru" href="#"><span><i></i>Mail.Ru</span></a> {#/if} {#if $P.login_register_tab == 2} <a class="rg_btn_soc rg_bs_01 js_tap_panel_selector" action="reg_email" href="#"><span><i></i>Email</span></a> <a class="rg_btn_soc rg_bs_01 js_tap_panel_selector" action="reg_openid" href="#"><span><i></i>OpenID</span></a> <a class="rg_btn_soc rg_bs_02 js_tap_panel_selector" action="reg_vkontakte" href="#"><span><i></i>Вконтакте</span></a> <a class="rg_btn_soc rg_bs_02 js_tap_panel_selector" action="reg_mailru" href="#"><span><i></i>Mail.Ru</span></a> {#/if} </div> {#/template js_tmpl_auth_reg_button} {#template js_tmpl_auth_reg_descr} {#if $P.login_register_tab == 1} Для оформления подписки на выбранную рассылку, работы с интересующей вас группой или доступа в нужный вам раздел, просим авторизоваться на Subscribe.ru {#/if} {#if $P.login_register_tab == 2} Для регистрации укажите ваш e-mail адрес. Адрес должен быть действующим, на него сразу после регистрации будет отправлено письмо с инструкциями и кодом подтверждения. {#/if} {#/template js_tmpl_auth_reg_descr} {#template js_tmpl_soc_auth_reg_descr} Или зарегистрируйтесь через социальную сеть. {#/template js_tmpl_soc_auth_reg_descr} {#template js_tmpl_auth_reg_soc} <div class="rg_soc"> {#if $P.login_register_tab == 1} <a onclick="return _checkSocConfirm(event)" href="https://oauth.vk.com/authorize?client_id=3954260&scope=wall,offline,photos,groups,video,audio,email&redirect_uri={location.protocol+'//'+location.host}/member/login/vk/&response_type=code&v=5.15" class="login_register_vk_button"> <span class="login_register_vk_icon"></span> </a> {#/if} {#if $P.login_register_tab == 2} <a onclick="return _checkSocConfirm(event)" href="https://oauth.vk.com/authorize?client_id=3954260&scope=wall,offline,photos,groups,video,audio,email&redirect_uri={location.protocol+'//'+location.host}/member/join/vk&response_type=code&v=5.15" class="login_register_vk_button"> <span class="login_register_vk_icon"></span> </a> {#/if} </div> {#/template js_tmpl_auth_reg_soc}

{#template MAIN} <div id="loginForm" style="display:none;" class="subscriberu_popup"> <div class="popup_register"> {#include js_tmpl_auth_reg_tab} <dl class="rg_block_options"> <dt id="js_tap_panel_auth"> <p class="rg_description">{#include js_tmpl_auth_reg_descr}</p> <div class="clr"> </div> {#include js_tmpl_auth_reg_action} <div class="clr"> </div> </dt> </dl> </div>  </div> {#/template MAIN} {#template js_tmpl_auth_reg_tab} <ul class="rg_nav"> <li id="js_tab_reg" class="rg_active_nav rg_first_nav"><a href="" onclick="return false;" >Регистрация</a></li> </ul> <span onclick="hidebo();" class="rg_closed"> </span> {#/template js_tmpl_auth_reg_tab} {#template js_tmpl_auth_reg_descr} <strong>Пожалуйста, подтвердите ваш адрес.</strong><br><br>Вам отправлено письмо для подтверждения вашего адреса {$P.register_confirm_mail}.<br>Для подтверждения адреса перейдите по ссылке из этого письма. {#/template js_tmpl_auth_reg_descr} {#template js_tmpl_auth_reg_action} <div class="rg_forms confirm_code_from_letter"> <div class="rg_for_input"> <span class="rg_inp_descr" style="width:15em;">Или введите код из письма:</span> <input type="text" value="" id="confirm_code" name="" data-js_submit="yes" data-js_action="js_confirmFormBut" class="js_keydown_selector rg_input_text_conf" > </div> <div class="rg_for_input"><label>Не пришло письмо? <b>Пожалуйста, проверьте папку Спам</b><br /> (папку для нежелательной почты).</label><br /> <a href="" onclick="ajax_recall_code();return false" >Вышлите мне письмо еще раз!</a></div> <div class="rg_for_input"> <em class="reg_error" id="confirm_msg"></em> <a href="#" class="button button-red" id="js_confirmFormBut">Готово</a> <div class="loading loading-cover" style="display: none;"><div class="loader"></div></div> <br> </div> </div> {#/template js_tmpl_auth_reg_action}