В предыдущем постинге мы описали, что происходит на зараженных Kido машинах после установки на них спамбота Iksmas.

Однако Kido загрузил на компьютеры не только Iksmas, но еще и поддельный антивирус SpywareProtect2009. Его работа в системе видна пользователям, чьи компьютеры заражены.

Выглядит это примерно так: поддельный антивирус постоянно, каждые несколько минут, показывает на экране различные сообщения об «обнаружении вирусов», «сетевых атаках», «проблемах с браузером» и так далее...

Назойливость этого поддельного антивируса настолько велика, что неискушенный пользователь с большой вероятностью может кликнуть на предложение об оплате «лечения» и не только потерять 50 долларов США, но и «подарить» данные своей кредитной карточки злоумышленникам — с самым непредсказуемым результатом.

Кроме демонстрации многочисленных сообщений, SpywareProtect2009 пытается загрузить в систему еще один компонент — троянец-загрузчик (Trojan-Downloader.Win32.FraudLoad.ecl). Этот троянец, в свою очередь, должен обеспечивать загрузку новых версий SpywareProtect2009.

Перехваченный нами вариант этого троянца осуществлял загрузку новых версий поддельного антивируса с сайта alsterstore.com. Об этом нами был извещен регистратор доменной зоны, и в течении 20 минут этот ресурс был закрыт.

securelist.com