Trojan.GBPBoot.1 можно назвать довольно примитивной вредоносной программой: она способна загружать с удаленных серверов и запускать на инфицированном компьютере различные исполняемые файлы либо запускать программы, не хранящиеся непосредственно на компьютере жертвы. Однако интересен этот троянец прежде всего тем, что имеет возможность серьезно противодействовать попыткам его удаления.

Троян состоит из нескольких модулей. Первый из них модифицирует главную загрузочную запись (MBR) на жестком диске компьютера, после чего записывает в конец подходящего раздела (вне файловой системы) модуль вирусного инсталлятора, модуль автоматического восстановления троянца, архив с файлом explorer.exe и сектор с конфигурационными данными. После чего помещает в системную папку вирусный инсталлятор, запускает его, а собственный файл удаляет.

| Сообщение посчитали полезным:

Так это не ново вроде. К тому же никаких проблем в лечении не вижу. Находишь подозрительный файл, смотришь куда он дропается и что подгружает - далее все стандартно. Ну а с восстановлением MBR проблем точно не возникнет.

| Сообщение посчитали полезным: DimitarSerg

а че за лохи вообще цепляют эти троянцы? запускают порнокартинки с расширением exe?

-----
Array[Login..Logout] of Life

| Сообщение посчитали полезным:

Хм, а я еще пользуюсь HideToolz, хер кто перепишет MBR

-----
-=истина где-то рядом=-

| Сообщение посчитали полезным: fire4x

fire4x пишет:
Первый из них модифицирует главную загрузочную запись (MBR)
fix mbr и нет проблемы.fire4x пишет:
После чего помещает в системную папку вирусный инсталлятор, запускает его
У кого помещает, а у кого и права настроены.
Рассчитано на буфетчицу люсю, но такой контингент троянить особого смысла нет, нечего взять, разве что профиль с контача или одноклассников, так кому он нужен.

| Сообщение посчитали полезным:

F_a_u_s_t пишет:
У кого помещает, а у кого и права настроены.

А у кого дрова это сделать не дают ;)

-----
-=истина где-то рядом=-

| Сообщение посчитали полезным:

Господа, коль затронули эту тему - кто какими песочницами пользуется, кроме СандбоксИЕ?

| Сообщение посчитали полезным:

А у кого и компьютер выключен.

кто какими песочницами пользуется

ну многие используют те, что встроены в антивирусы.

| Сообщение посчитали полезным:

Gideon Vi
Вот лично Вы какой антивирь посоветуете? Не холивара ради, просто я действительно ими не пользуюсь..

| Сообщение посчитали полезным:

ressa пишет:
кто какими песочницами пользуется
У меня авастик IS. Полноценной песочницы во Free версии нету. Можно настроить некоторые права и доступы для запускаемого из песочницы файла. Также в нем есть песочница-браузер. Удобно на самом деле, варь не надо запускать и гарантировано не подхватишь.

-----
Array[Login..Logout] of Life

| Сообщение посчитали полезным:

F_a_u_s_t пишет:
fix mbr и нет проблемы.
Рассчитано на буфетчицу люсю, но такой контингент троянить особого смысла нет, нечего взять, разве что профиль с контача или одноклассников, так кому он нужен.

Статья не моя.

KingSise пишет:
Хм, а я еще пользуюсь HideToolz, хер кто перепишет MBR
Можно по-подробнее...

| Сообщение посчитали полезным:

fire4x --> HideToolz <--

-----
-=истина где-то рядом=-

| Сообщение посчитали полезным:

ressa пишет:
Вот лично Вы какой антивирь посоветуете?

Microsoft Security Essentials + Outpost firewall. Песочница Sandboxie.

KingSise пишет:
HideToolz

x86 only А так - да, мега утиль.

| Сообщение посчитали полезным:

HideToolz v2.2

change log:
06.08.2009: updated for Windows 7 Build: 7100
08.03.2010: updated for Windows 7 Build: 7601+

Кто знает где взять v2010?

| Сообщение посчитали полезным:

P.S. KingSise, какую версию пользуете?

| Сообщение посчитали полезным:

--> Link <--

| Сообщение посчитали полезным:

Gideon Vi, там v2009
На 7-ке (7601) не пойдет

| Сообщение посчитали полезным:

KingSise пишет:
Хм, а я еще пользуюсь HideToolz, хер кто перепишет MBR

Ошибаетесь. Любой tdl пробьет его с юзермода простым scsi запросом, потому что hidetoolz защита от записи в mbr это всего лишь пара хуков в сдт - writefile/writefilescatter. Это спасет только от примитивных винлоков, да убогих протекторов. Насколько я помню сорс hidetoolz тут у кого-то был. Взяли бы да выложили на тот же svn - можно было бы допилить хотя бы поддержку последних виндов. Для троянщиков сорсы эти все равно уже бесполезны так как устарело все это.

| Сообщение посчитали полезным: ressa, fire4x

Alchemistry
Ну все-равно в паблик лучше не кидать, а то будет снова тысяча недофорков.. А так - плюсую - очень здравая мысль - допилить поддрежку той же 7ки, а то очередная достойная тулза гибнет.

| Сообщение посчитали полезным:

ressa
Лучше тысяча недофорков чем одна неработающая тулза без будущего.

| Сообщение посчитали полезным:

Вот проект, аналог hide toolz в исходниках, seven поддерживается.

| Сообщение посчитали полезным: Gideon Vi