www.MegaLab.it

Sono molti i nomi con cui è conosciuto il trojan che stiamo per analizzare. Il più famoso tra questi è forse CiD, mentre gli antivirus lo riconoscono come Swizzor.

Capire che il vostro computer è stato infettato da questo trojan è piuttosto semplice, visti i tanti pop-up pubblicitari che ci appaiono mentre stiamo lavorando sul PC. Si tratta di pubblicità relative agli argomenti più disparati, dai casinò e siti di gioco on-line, a siti pornografici.

Una volta avviata l'infezione, viene creata una cartella con un nome random (casuale) all'interno della cartella Dati Applicazioni nella directory del profilo utente:

Inserisce nella cartella appena creata alcuni file, anch'essi con nomi casuali.

Inoltre, nella cartella Dati Applicazioni della directory in cui sono salvati tutti i file e i settaggi da assegnare alla creazione di un nuovo utente (C:\Documents and Settings\All Users), crea una cartella con nome casuale, costituito però da più di una parola:

I file downloader del trojan verranno collocati all'interno della cartella appena creata. Essi saranno in grado di riscaricare il trojan e rigenerare l'infezione, nel caso quest'ultimo venga rimosso solo parzialmente.

Anche se creassimo un nuovo utente per sperare di aggirare l'infezione, rimarremo parecchio stupiti nel trovare il computer nuovamente infetto.

Per avviare i file che compongono la parte downloader del trojan, crea un valore nel registro di sistema all'interno della chiave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, che punta ai file presenti nella cartella casuale contenuta in C:\Documents and Settings\All Users\Dati Applicazioni:

Crea un valore analogo nel percorso HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, che riporta però ai file infetti creati all'interno della cartella Dati Applicazioni del profilo corrente:

Cerca di garantirsi l'avvio automatico creando anche un file .job nella cartella C: \Windows\Tasks che punta al file contenuto nella cartella Dati Applicazioni del profilo utente infetto:

Analisi dei file infetti

Analisi del file Downloader dell'infezione su VirusTotal.com

Analisi del file presente nella cartella casuale dell'utente infetto su VirusTotal.com