Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Главная > Новости бизнеса > Hi-Tech > Новый «винлок» блокирует систему, меняя пароль пользователя

Новый «винлок» блокирует систему, меняя пароль пользователя

Четверг, 15 марта 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e



Компания « Доктор Веб » сообщает о появлении нового троянца-блокировщика, добавленного в вирусные базы под именем Trojan.Winlock.5729. Особенность этой программы-вымогателя заключается в том, что она блокирует операционную систему, используя штатные средства Windows, путем изменения пароля локальных пользователей.

Традиционно программы-вымогатели используют для блокировки входа в операционную систему специальное приложение, заменяющее собой стандартную оболочку (shell) Windows или файл userinit.exe и демонстрирующее на экране компьютера соответствующий текст. Одновременно вредоносная программа обычно отслеживает и предотвращает запуск различных вспомогательных утилит, таких как Диспетчер задач, Командная строка, Редактор реестра и т. д. Совершенно по иному, гораздо более простому, но весьма оригинальному пути пошли авторы Trojan.Winlock.5729.

Троянец скрывается в модифицированном злоумышленниками установочном дистрибутиве популярной программы Artmoney, предназначенной для «накрутки» различных ресурсов в компьютерных играх. Помимо реального установщика Artmoney, инсталлятор содержит три файла: измененный файл logonui.exe с именем iogonui.exe (этот файл отвечает за демонстрацию графического интерфейса при входе пользователя в Windows XP) и два самораспаковывающихся архива, содержащих bat-файлы. При загрузке инфицированного инсталлятора запускается первый из них, password_on.bat. Данный файл содержит набор команд, выполняющих проверку операционной системы: если на жестком диске присутствует папка c:users, что является характерным признаком операционной системы Windows Vista и Windows 7, вредоносные компоненты удаляются, если же такая папка отсутствует, троянец считает, что он запущен в Windows XP. В этом случае Trojan.Winlock.5729 модифицирует системный реестр, подменяя при загрузке Windows стандартный logonui.exe собственным файлом iogonui.exe, и меняет пароль учетной записи Windows для текущего пользователя и локальных пользователей с именами «admin», «administrator», «админ», «администратор». Если текущий пользователь работает в ограниченной учетной записи, работа троянца прекращается. Еще один bat-файл - password_off.bat - удаляет все пароли и возвращает в системном реестре оригинальное значение UIHost.

Файл iogonui.exe представляет собой настоящий аутентичный файл logonui.exe из комплекта поставки Windows XP, в котором с помощью редактора ресурсов была изменена стандартная строка приветствия Windows на требование отправить платное СМС-сообщение.

Таким образом, выполнив выход из системы или перезагрузку, пользователь уже не сможет осуществить вход, поскольку пароли всех учетных записей пользователей были изменены.

Если вы стали жертвой этого троянца, для входа в систему используйте пароль «Спасибо!» (без кавычек), после чего Trojan.Winlock.5729 автоматически сбросит пароли учетных записей. Если этого не произошло, можно вручную изменить значение параметра UIHost в ветви реестра HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon на logonui.exe.

#vk

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 220
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

11: 00
Астрофизики собираются заснять горизонт событий черной дыры |
11: 00
Ученые обнаружили след самого большого динозавра |
11: 00
Российский дистрибутор Xiaomi получил право бороться с «серыми» поставками устройств бренда |
10: 40
Скидка на восстановленные Samsung Galaxy Note7 будет достигать 50%. Такие смартфоны не будут продаваться в США |
10: 20
UMIDIGI C NOTE — недорогой смартфон с отличными характеристиками |
10: 00
Владельцу гарантийного Samsung Galaxy S7 Edge отказали в обмене после того, как он не подписал соглашение о неразглашении |
09: 20
Количество вредоносного ПО для мобильных устройств за год выросло на 400% |
09: 20
MSI анонсирует видеокарты GeForce GTX 1080 Ti серий AERO, ARMOR и GAMING |
09: 00
Проблема безопасности похищенных хакерами 200 млн iCloud остается актуальной |
09: 00
Конгресс США одобрил законопроект, который позволит провайдерам торговать данными пользователей |
07: 20
Что случилось 28 03 2017? |
07: 00
Ассортимент Palit пополнили SSD серий UV-S и GF-S |
07: 00
Смартфон Ulefone Power 2 с мега-емким аккумулятором можно купить со скидкой |
07: 00
Сооснователь uCoz рассказал о решении закрыть коллективное медиа uPages менее чем через полгода после запуска |
07: 00
Магазин Samsung загорелся за день до презентации Galaxy S8 |
07: 00
Компания Alcatel-Lucent опубликовала код 8, 9 и 10 редакций Unix |
07: 00
Очередная встреча сообщества RuHaskell |
07: 00
OpenMotif 2.3.7 |
18: 40
Viber запустил стикеры для фото |
18: 40
Tinder объявил о начале тестирования веб-версии приложения |
17: 40
SSD Transcend MTE850 работают на очень высокой скорости |
17: 40
Смартфоны Samsung Galaxy Note7 официально вернутся в продажу |
17: 40
Производство чипов Apple A11 стартует в апреле |
17: 40
Смартфон Moto X (2017) в металлическом корпусе показался на фото |
17: 40
Xiaomi выпустит Mi Pad 3 в четырех цветах |
17: 40
NAS GnuBee GB-PC1 использует пассивное охлаждение воздухом |
17: 40
Я установил iOS 10.3 и снова поверил в Apple |
17: 00
Bozena Riot: мощная система для подавления уличных беспорядков |
17: 00
Почему взлетные полосы должны быть круглыми? |
17: 00
Microsoft опубликовала финальную версию глобального обновления Windows 10 до официальной презентации |
17: 00
Redaktr — онлайн-сервис для создания сайтов |
Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003

Январь 2006: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31