Trojan-PSW.VBS.Half

Родительский класс: TrojWare

Вредоносные программы, которые осуществляют несанкционированные пользователем действия: уничтожают, блокируют, модифицируют или копируют информацию, нарушают работу компьютеров или компьютерных сетей. В отличие от вирусов и червей, представители этой категории не умеют создавать свои копии, не способны к самовоспроизведению.

Класс: Trojan-PSW

Предназначены для кражи пользовательских аккаунтов (логин и пароль) с пораженных компьютеров. PSW – аббревиатура от Password Stealing Ware («ПО для кражи паролей»). При запуске PSW-троянцы ищут необходимую информацию в системных файлах, хранящих различную конфиденциальную информацию, или реестре. В случае успешного поиска программа отсылает найденные данные «хозяину». Для передачи данных могут быть использованы электронная почта, ftp, web (посредством указания данных в запросе) и другие способы. Некоторые троянцы данного типа воруют регистрационную информацию к различному программному обеспечению. Программы, занимающиеся кражей учетных записей пользователей систем интернет-банкинга, интернет-пейджинга и онлайн-игр, в силу их многочисленности, выделены в отдельные классы: Trojan Banker, Trojan IM и Trojan GameThief соответственно.

Подробнее

Платформа: VBS

VBS (VBScript, Visual Basic Scripting Edition) – скриптовый язык программирования, созданный корпорацией Microsoft. Широко используется при создании скриптов в операционной системе Windows.

Описание

Technical Details

Троянская программа, относящаяся к семейству троянцев, ворующих пароли пользователя.

Представляет себой VBScript-вирус. Имеет размер 977 байт. Содержится в веб-страницах. Похищает пароли в системах Win9x.

Payload

После открытия страницы с вредоносным кодом троянец ищет в каталогах на диске C: файлы с расширением PWL (данные файлы используются в системах Win9x для хранения паролей пользователей) и, используя ActiveXObject "MSMAPI.MAPISession", отправляет их на электронный адрес злоумышленника (onehalf***4@mail.ru). Письмо имеет тему «this is test for lame» и содержание «hello my friend(c)onehalf***4:».

Removal instructions

1. Удалить страницу с вредоносным кодом.
2. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com