Ataki na GG (trojan: paulina.scr)

[forest 7041]

Ostatnio u??ytkownicy Gadu-Gadu skar??yli siÄ? na kradzie??e kont i numer??w. Przyczyna? Otwarcie otrzymanego od znajomego z GG pliku o nazwie â??paulina.scrâ?. Co robi ten trojan i jak dok??adnie wyglÄ?da atak? O tym poni??ejâ??

 

paulina.scr (wirus na GG)

 

Jak pisze Karol Olszacki, ofiary otrzymujÄ? za po??rednictwem Gadu-Gadu (od swoich znajomych) plik o nazwie â??paulina.scrâ? wraz z wiadomo??ciÄ? â??czy jÄ? znasz?â??. Wysy??anie do znajomych â??z listyâ? zapewne pozwala ominÄ?Ä? trojanowi filtry antyspamowe GG. KonsekwencjÄ? uruchomienia przes??anego pliku jest

 

1. wy??wietlenie poni??szego zdjÄ?cia:

 

dziunia.jpg -- plik wy??wietlany przez trojana paulina.scr

 

 

2. strata numeru Gadu-Gadu. Trojan zmienia e-mail zwiÄ?zany z kontem GG ofiary i zaczyna rozsy??aÄ? siÄ? do znajomych ofiary.

 

paulina.scr â?? co robi?

 

Plik paulina.scr (MD5: fe5b07bf0f9144981a59cabf1ed6a728) nie jest jeszcze rozpoznawany jako zagro??enie przez programy antywirusowe. Karol informuje, ??e dzia??ania destrukcyjne uruchamiajÄ? siÄ? z op????nieniem.

 

Plik paulina.scr mo??na naszybko poddaÄ? automatycznej analizie przy pomocy Anubisa. Raport mo??na pobraÄ? stÄ?d. Na komputerze ofiary po infekcji â??PaulinÄ?â? startuje serwer VNC i modyfikowany jest rejestr Windows. Na dysku ofiary tworzone sÄ? pliki

 

 

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\vncc.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tool.exe

 

oraz plik z loginami i has??ami odczytanymi z przeglÄ?darek (Internet Explorer, Safari, Chrome, Opera) a tak??e Gadu-Gadu.

 

 

paulina.scr oczami Anubisa

 

Malware komunikuje siÄ? (pcap) tak??e z hostem esperanzo.xaa.pl (46.105.111.234) i zapewne w ten spos??b daje atakujÄ?cemu znaÄ?, ??e jest gotowy na przyjÄ?cie po??Ä?czenia VNC.

Co zrobiÄ??

 

Ostrze??cie tych mniej zorientowanych, ??e .scr to nic dobrego i zapytajcie, czy widzieli ostatnio â??dziuniÄ?â? ze zdjÄ?cia powy??ejâ?? ;) Je??li widzieli, to nie obejdzie siÄ? bez skasowania w/w plik??w i zmiany WSZYSTKICH hase??.

 

 

 

??r??d??o niebezpiecznik.pl