www.MegaLab.it

Grazie all'uso di GMER, saremo in grado di compilare un codice (Script) da inserire nel programma The Avenger: tuttavia, la compilazione dello script presenta alcune difficoltà, poiché varia da infezione a infezione e richiede una preparazione tecnica di un certo livello. Consigliamo perciò di chiedere aiuto nei forum specializzati, ove è consigliabile presentarsi dichiarando di essere infetti da questo trojan e inserire il log della scansione di GMER, scheda Autostart. Nel forum riceverete istruzioni sul corretto uso di The Avenger. Saremo felici di aiutarvi qui sul forum di MegaLab.it a questo indirizzo.

Sostanzialmente, comunque, lo script da uitilizzare sarà simile al seguente, che abbiamo utilizzato per "curare" il PC di prova infetto:

registry values to delete: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run | 1 registry keys to delete: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{14D1A72D-8705-11D8-B120-0040F46CB696} Files to delete: C:\WINDOWS\service32.exe C:\Documents and Settings\client\Desktop\1121765.dll C:\Windows\svchost32.dll

Prevenzione

Le norme basilari per evitare l'infezione sono sempre le stesse:

1) Aggiornare di continuo il proprio sistema operativo tramite Windows Update.

2) Navigare utilizzando un antivirus aggiornato.

3) Utilizzare un firewall.

4) Possibilmente, navigare utilizzando browser che non siano Internet Explorer, per evitare di infettarsi. Consigliamo l'uso di Firefox od Opera.

5) Controllare abitualmente il PC mediante gli scan di programmi di vario genere (AntiVirus, AntiSpyware, AntiRootkit, etc...).

Il trojan visto dagli antivirus

Come con tutti i virus, ogni antivirus assegna al trojan.clicker un nome differente (si tratta dei cosiddetti alias).

Segue una galleria, che ci mostra il nome con cui ogni antivirus riconosce il nostro trojan:

Service32.exe

Si può osservare come solo Antivir (al momento della stesura dell'articolo) riconosca il file service32.exe, che origina l'infezione, come infetto. Ciò è probabilmente dovuto all'efficiente motore euristico di cui è dotato.

1121765.dll

Il file 1121765.dll, registrato come BHO e colpevole della modifica dei risultati nella ricerca effettuata con Google, è invece riconosciuto da molti antivirus, solitamente col nome di Trojan.Clicker.Agent.hz.

Svchost32.dll

Anche questo file è riconosciuto dalla maggior parte degli antivirus sostanzialmente come Tojan.Clicker.Small.kj.