10 июля 2000 г.

Антивирусная лаборатория ╚ЦЕБИТ╩ со ссылкой на компанию Trend Micro, разработчика антивирусного ПО, сообщила о появлении нового трояна TROJ_GLACIER.

    Glacier принадлежит к довольно многочисленной группе троянских программ, основной целью которых является воровство паролей с компьютеров-жертв. Все введенные с клавиатуры пароли этот троян аккуратно записывает в log-файл, который затем отправляет своему создателю с помощью стандартной библиотеки WINSOCK ОС Windows.

    Деструктивные действия: при запуске троян создает две свои копии в системном каталоге Windows (обычно это Windows\System) с именами KERNEL32.EXE и SYSEXPLR.EXE. Затем файл KERNEL32.EXE регистрируется в системном реестре для обеспечения автоматического запуска своего ╚дроппера╩ при каждом перезапуске Windows:

    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServices
(имя ключа - "Default", значение - "KERNEL32.EXE").

    После этого ╚дроппер╩ SYSEXPLR.EXE также регистрируется в реестре, обеспечивая его запуск при каждом открытии текстовых файлов:

    HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\ open\command
(имя ключа - "Default", значение - "SYSEXPLR.EXE").

    После успешной инсталляции себя в систему троян приступает к исполнению своих прямых обязанностей - воровству паролей пользователя инфицированного компьютера. Делает он это, перехватывая все нажатия на клавиатуре и записывая все перехваченные символы в специальный файл (key.log), который затем отправляет хозяину по сети.

    Как удалить GLACIER со своего компьютера:
1. Загрузите Windows в режиме MS-DOS.
2. Удалите файлы KERNEL32.EXE и SYSEXPLR.EXE в каталоге Windows\System.
3. Загрузите Windows.
4. Запустите regedit.exe и удалите ключи системного реестра "Default" со значением KERNEL32.EXE:

    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServices

    5.Замените значение SYSEXPLR.EXE %1 в:

    HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\ shell\open\command

    на то, что было там ранее (программа, которая ассоциировалась с текстовыми файлами), например: если вы использовали notepad (блокнот) для редактирования текстовых файлов, то тогда необходимо заменить "SYSEXPLR.EXE %1" на "C:\WINDOWS\NOTEPAD.EXE %1".

    По материалам пресс-релиза "ЦЕБИТ".