Компания Symantec предупреждает о появлении новой вредоносной программы Kardphisher, пытающейся похитить конфиденциальную информацию о своих жертвах.
Троян Kardphisher маскируется под систему активации Windows. После проникновения на компьютер Kardphisher создает на жестком диске файл с именем keylog.dll и вносит ряд изменений в реестр операционной системы. Далее вредоносная программа отображает на экране диалоговое окно с заголовком "Microsoft piracy control" и сообщает пользователю о необходимости повторной активации Windows.
В случае, если потенциальная жертва отказывается пройти процедуру активации, компьютер выключается. Если же пользователь согласится выполнить требование, на экран выводится форма, в которой, в числе прочего, предлагается указать название и номер кредитной карты. Естественно, после отправки формы вся указанная в ней информация попадает не на сервер Microsoft, а в руки злоумышленников.
Диалоговые окна, отображаемые трояном Kardphisher, по стилю выполнения очень близки к настоящим окнам, отображаемым системой активации Windows. При этом после запуска вредоносная программа не дает пользователю ни переключиться в другое приложение, ни вызвать диспетчер задач Windows. Троян способен инфицировать компьютеры, работающие под управлением операционных систем Windows 2000, Windows ХР и Windows Server 2003.
Впрочем, в компании Symantec подчеркивают, что особого распространения вредоносная программа пока не получила. Эксперты также отмечают, что программные платформы Windows иногда нуждаются в повторной активации, однако Microsoft при этом никогда не требует указывать информацию финансового характера.
Данные по трою:
Discovered: April 26, 2007
Updated: April 27, 2007 8:45:32 AM
Type: Trojan
Infection Length: 962,048 bytes
Systems Affected: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
Once executed, the Trojan creates the following file:
[PATH TO THE TROJAN]\keylog.dll
The Trojan creates the following registry subkeys:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\soft2
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersi on\Policies\System\DisableTaskMgr
The Trojan pretends to be a legitimate Microsoft activation program and tricks the user into entering their credit card details to activate Windows.
The Trojan shuts down the compromised computer if the user does not enter their credit card numbers.
The Trojan prevents the user from running or switching to another application or task manager.
The Trojan sends the stolen information to the following URL:
[http://]81.29.241.170/in.[REMOVED]
Оригинал статьи на сайте Symantec
