Обнаружен новый червь, заражающий RAR-архивы
Компания «Доктор Веб» сообщила о распространении вредоносной
программы-червя Win32.HLLW.Autoruner.64548, способной заражать
RAR-архивы. Червь «умеет» загружать с удаленного сервера злоумышленников
исполняемые файлы, которые могут нести вредоносный функционал.
Вредоносная
программа Win32.HLLW.Autoruner.64548 распространяется так же, как и
многие другие черви: создает свою копию на диске и размещает в корневой
папке файл autorun.inf, запускающий червя при подключении устройства.
Начав свою работу на инфицированном компьютере,
Win32.HLLW.Autoruner.64548 ищет на дисках RAR-архивы и записывает себя в
них, используя одно из следующих имен: secret.exe, AVIRA_License.exe,
Warcraft_money.exe, CS16.exe, Update.exe, private.exe, Autoruns.exe,
Tutorial.exe, Autorun.exe, Readme.exe, Real.exe, readme.exe, Keygen.exe,
Avast_keygen.exe. В некоторых случаях после подобной модификации архивы
повреждаются.
Кроме того, червь имеет модуль полезной нагрузки. Также в его
теле содержится исполняемый файл, который Win32.HLLW.Autoruner.64548
сохраняет в папку установки Windows в виде библиотеки mssys.dll. Ссылку
на эту библиотеку вредоносная программа записывает в системный реестр.
Полезную нагрузку червь встраивает в копию собственного процесса. Затем
вредоносная программа соединяется с удаленным сервером злоумышленников и
ожидает команд на загрузку и запуск исполняемых файлов.
Win32.HLLW.Autoruner.64548
— представитель достаточно редкой категории вредоносных программ,
способных заражать RAR-архивы. При распаковке RAR-архивов обращайте
внимание, не появились ли внутри подозрительные исполняемые файлы: их
случайный запуск может нанести вред вашему компьютеру.
|