www.MegaLab.it

Nuova variante 17-04-08

A oggi l'infezione è radicalmente cambiata. I file infetti che costituiscono l'infezione sono raddoppiati cambiando nome, ma rimanendo per la maggior parte adware/spyware. I sintomi rimangono comunque i medesimi.

I nomi dei file infetti potrebbero cambiare a seconda della variante del virus che avete contratto.

In Windows\System32 vengono creati due file: un eseguibile e una dll, che saranno eseguiti entrambi all'avvio del sistema:

• byXQgeEv.dll
• cfsxynmh.exe

Nella cartella di sistema Windows vengono creati 5 file, 1 eseguibile e 4 dll. Le dll saranno avviate, mentre l'eseguibile - classificato dagli antivirus come trojan - sarà utilizzato dall'infezione senza essere avviato automaticamente:

• dsktbwfe.dll
• nslbvxpgrno.dll
• ogxtsepr.dll
• sgoblxtm.dll
• spnkfwad.exe

Viene creata infine una cartella di nome casuale posta in Documents and Settings\All Users\Dati applicazioni, che conterrà un file eseguibile dello stesso nome della cartella. Anch'esso viene avviato automaticamente:

Il servizio Aggiornamenti Automatici viene terminato e disabilitato, per impedire al sistema di aggiornare i suoi componenti e di scaricare le ultime patch di sicurezza. Il centro di sicurezza, se attivato, notifica questa anomalia.

L'avvio viene "popolato" dalle numerose creazioni del trojan. Registra anche alcune dll come BHO (Browser Helper Object) e come toolbar nocive, e ne pone altre in avvio automatico. Di seguito i risultati di HijackThis su un sistema pulito:

Analisi dei file infetti

Ragioni editoriali mi impediscono di mostrare le analisi di ogni singolo file. Ecco quindi le analisi dell'installer della nuova variante:

Rimozione

Per la rimozione è possibile utilizzare l'ottimo ed efficace ComboFix, o il segunte script con The Avenger:

Files to delete: C:\WINDOWS\dsktbwfe.dll C:\WINDOWS\nslbvxpgrno.dll C:\WINDOWS\ogxtsepr.dll C:\WINDOWS\sgoblxtm.dll C:\WINDOWS\spnkfwad.exe C:\WINDOWS\System32\byXQgeEv.dll C:\WINDOWS\System32\cfsxynmh.exe

Alla fine dello script, aggiungete il percorso del file infetto residente in Documents and Settings\All users