Троянец – установщик ПО и неудаляемой рекламы
По сообщению компании «Доктор Веб», ее вирусные аналитики в декабре исследовали программу, предназначенную для несанкционированной установки других приложений – троянца Trojan.Ticno.1537.
ПО Trojan.Ticno.1537 скачивается на атакуемый компьютер другой вредоносной программой. После запуска троянец пытается определить наличие виртуального окружения и средств отладки, проверяя имена запущенных процессов и соответствующие ветви системного реестра Windows. Кроме того, Trojan.Ticno.1537 проверяет идентификатор продукта Windows (Product ID), имя пользователя и компьютера, количество вложенных папок в директории Program Files, наименование производителя BIOS и присутствие в системе работающих процессов perl.exe или python.exe. Если проверка завершилась успешно, вредоносная программа запускает Проводник и завершает свою работу.
Если троянец не обнаружил ничего подозрительного, он сохраняет на диск файл с именем 1.zip. При нажатии кнопки Save Trojan.Ticno.1537 начинает загрузку на компьютер и установку различных программ. В их числе – браузер Amigo и программа HomeSearch@Mail.ru компании Mail.Ru, а также троянцы Trojan.ChromePatch.1, Trojan.Ticno.1548, Trojan.BPlug.1590, Trojan.Triosir.718, Trojan.Clickmein.1 и Adware.Plugin.1400.
Trojan.ChromePatch.1 – это рекламный троянец, который проникает в систему вместе с приложением TrayCalendar, созданным в 2002 г.. Сама программа и троянец упакованы в единый установочный пакет.
Одновременно с копированием на диск TrayCalendar инсталлятор сохраняет и устанавливает расширение для Google Chrome. Наиболее интересная особенность Trojan.ChromePatch.1 заключается в том, что он умеет заражать файл ресурсов браузера Chrome – resources.pak. Злоумышленники используют этот прием как минимум с весны 2015 г., чтобы в Chrome реклама отображалась даже после того, как троянец будет удален с компьютера. При заражении размер этого файла не меняется, поскольку Trojan.ChromePatch.1 ищет в нем строки с комментариями и заменяет их собственным кодом. Назначение Trojan.ChromePatch.1 — показ в окне браузера Chrome нежелательной рекламы.
Все упомянутые выше троянцы, отмечают в «Доктор Веб», обнаруживается и удаляются «Антивирусом Dr.Web».