Virussen | Spyware
Satiloler.E
Met behulp van deze websites kunt u het Satiloler.E virus verwijderen:
verwijderen Satiloler.E virus
Trojan.Satiloler.E is een Trojan paard dat probeert om gebruikersnamen, wachtwoorden, en andere informatie van de gecompromitteerde computer te stelen. Het probeert ook aan lagere veiligheidsmontages en kan verre dossiers downloaden en uitvoeren.Wanneer Trojan.Satiloler.E wordt uitgevoerd, voert het de volgende acties uit:
Creëert mutex "_ Toolbar_Class_32" toestaand slechts één instantie van Trojan om op de gecompromitteerde computer uit te voeren.
De controles voor de aanwezigheid van de volgende bestuurder dienen in:
%System%\vsdatant.sys - de bestuurder van de Firewall ZoneAlarm
Nota: %System% is een variabele die naar de omslag van het Systeem verwijst. Door gebrek is dit C:\Windows\System (Vensters 95/98/Me), C:\Winnt\System32 (Vensters NT/2000), of C:\Windows\System32 (Vensters XP).
Laat vallen het kwaadwillige dossier %System%\drivers\ip.sys en creëert de volgende systeemdienst om bestuurder ZoneAlarm bij volgende machinereboot te schrappen, als het dossier %System%\vsdatant.sys bestaat:
De Naam van de dienst: Ip4Sec
De Naam van de vertoning: Ip4Sec
De Weg van het beeld: %System%\drivers\ip.sys
Creëert het volgende reserveexemplaar van het geldige systeemdossier %System%\userinit.exe:
%Windir%\system\userinit.exe
Nota: %Windir% is een variabele die naar de de installatieomslag van Vensters verwijst. Door gebrek, is dit C:\Windows of C:\Winnt.
Creëert een exemplaar van zich als volgend dossier, dat het oorspronkelijke %System%\userinit.exe- dossier in het proces beschrijft:
%System%\userinit.exe
Kopiëert zich als één van de volgende dossiers:
%ProgramFiles%\Common Files\system\lsass.exe
%System%\ctfmon.exe
Nota: %ProgramFiles% is een variabele die naar de omslag van programmadossiers verwijst. Door gebrek, is dit C:\Program- Dossiers.
Creëert de volgende dossiers:
%System%\xvid.dll
%System%\xvid.ini
%System%\divx.ini
%System%\init.dll
Gebruikt gebruiker-Wijze de technieken van Rootkit om zijn proces en zijn registratiesleutels te verbergen.
Laat vallen het volgende dossier en voert het die in de Registratie van Vensters in, de Pagina van het Onderzoek, de Standaardpagina, de Pagina van het Begin en de Hulppagina van het Onderzoek van browser van de Ontdekkingsreiziger van Internet herstelt aan de standaardconfiguratie:
C:\bkup.reg
Voegt de waarde toe:
"systeem" = "%ProgramFiles%\Common Files\system\lsass.exe"
aan registratiesubkey:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
zodat het loopt telkens als de Vensters begint.
Voegt de waarde toe:
"AppInit_DLLs" = "%System%\init.dll"
aan registratiesubkey:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
zodat het loopt telkens als de Vensters begint.
Wijzigt de waarden:
"SFCDisable" = "FFFFFF9D"
"SFCScan" = "0"
in registratiesubkey:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
om de Bescherming van het Dossier van Vensters onbruikbaar te maken.
Voegt de waarde toe:
"Systeem" = ""
aan registratiesubkey:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Voegt de waarde toe:
"x" = "[ TROJAN GEGEVENS ]"
aan registratiesubkey:
HKEY_CURRENT_USER\Software\Microsoft
Voegt de waarden toe:
"ver" = "[ TROJAN GEGEVENS ]"
"versus" = "[ TROJAN GEGEVENS ]"
aan registratiesubkey:
HKEY_CURRENT_USER\Software
Schrapt waarden onder de volgende registratie subkeys:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser de Voorwerpen van de Helper
Wijzigt de volgende dll dossiers, en om het even welke reserveexemplaren in de omslag %Windir%\dllcache om de Bescherming van het Dossier van het Systeem onbruikbaar te maken:
%System%\sfc_os.dll
%System%\sfc.dll
NOTA: De Trojan exemplaren het oorspronkelijke sfc_os.dll- dossier als KARAKTERS %System%\trash[RANDOM ]
Pogingen om Firewall en Veiligheid verwante programma's te mijden die berichten en bevelen verzenden naar de vensters die de volgende koorden hebben:
De Persoonlijke Firewall van Norton
Creëer regel voor %s
Van het processusgeheime voorgeheugen van de V.N. de verbindingsreseau requiert une.
Ne plus afficher cette nodigt uit
Van procesooculto van de V.N. solicitaacceso een Larood
Aceptar
Het waarschuwen: De componenten zijn veranderd
&Make veranderde gedeelde component
Het verborgen Proces verzoekt om de Toegang van het Netwerk
Ein versteckter Prozess verlangt Netzwerkzugriff.
PermissionDlg
&Remember dit antwoord volgende tijd I gebruikt dit programma.
&Yes
Het Alarm van de Veiligheid van vensters
Sta alle activiteiten voor deze toepassing toe
Alarm van de Firewall van Kerio het Persoonlijke
Creëer een regel voor deze mededeling en vraag opnieuw me niet.
Pogingen om de volgende processen te beëindigen:
WINLDRA. EXE
NETSCAPE EXE
OPERA EXE
FIREFOX. EXE
MOZILLA. EXE
M00.EXE
WINTBPX. EXE
SWCHOST. EXE
SVOHOST. EXE
SVC. EXE
WINSOCK. EXE
SPOELEN EXE
KERNELS32.EXE
MWFIBPX. EXE
NOD32KUI. EXE
MCUPDATE. EXE
MW1HEL~1.EXE
REALSCHED. EXE
TBON. EXE
PUCXYLOO. EXE
MOUSE32A. EXE
WINUPDATES. EXE
BACKWEB -
QTTASK. EXE
MEDIAGATEWAY. EXE
SOX1.EXE
SHSTAT. EXE
SPYAXE. EXE
XCOMMSVR. EXE
RWNT. EXE
SHOST. EXE
MOUSEELF. EXE
AIMEXDLL. EXE
BATSERV2.EXE
ELOGERR. EXE
SYSC. EXE
STOPADS. EXE
ISTSVC. EXE
UWFX5.EXE
DAZZLER. EXE
BEVEILIG EXE
SPOOLSRV32.EXE
IBM00001.EXE
KERNELS64.EXE
DRIVER64.EXE
PAYTIME. EXE
TYPE32.EXE
MEDIAPIPE. EXE
ADDUZ32.EXE
ITBILL. EXE
SPYSHERIFF. EXE
APIFL. EXE
DRSMARTLOADB. EXE
GCASSERV. EXE
MPP2PL. EXE
UNSPYPC. EXE
REALSCHED. EXE
ISSTART. EXE
LOGITRAY. EXE
WINSTALL. EXE
STATUSCLIENT. EXE
MPCSVC. EXE
BACKORIF. EXE
NOPEZ. EXE
USRPRMPT. EXE
NETNW. EXE
HPBPSTTP. EXE
NVAREM. EXE
APIFL. EXE
UNSPYPC. EXE
Pogingen om de volgende programma's onbruikbaar te maken:
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
De onderzoeken naar de volgende koorden in het browser van het Web venster en kunnen bankrekeningsinformatie stelen:
deutsche-bank.de
diba.de
1822direkt.com
haspa.de
sparkasse -
mbs-potsdam.de
homebanking -
bankingportal.
dresdner-privat.de
gad.de
citibank.de
portal-banking.de
vr-ebanking.de
vr-networld-ebanking.de
CC-BANK.DE
commerzbanking.de
lacaixa.es
postbank.de
cajamurcia.es
caja-granada.es
cajastur.es
ebankinter.com
axabanque.fr/client/sauthentification
cahoot
ei
if.com
glimlach
eerst
natie
abbey
het meest natwest
citi
barclay
allianc
bank
hsbc
lloyd
nwolb
online
hali
npbs
marmer
handel
rbs.
caja
caixa
e-gold.com
lacaixa.es
viabcp.com
banesto.es
openbank.es
cajacanarias.es
caixatarragona.es
Payee_Account
bancaonline.
openplan.co.uk
Steelt de volgende informatie en bewaart het aan het %System%\divx.ini- dossier:
Uitdrukkelijke POP3 de gebruikersnaam van vooruitzichten
Wachtwoord voor de Ontdekkingsreiziger AutoComplete van Internet
De rekening van de Inschrijving van de Ontdekkingsreiziger MSN
Bezochte URLs
Radio knoop en checkbox status
Aanslagen
Het POSTVERZOEK van de vorm
Vangt een screenshotbeeld van het actieve browser venster om bankdetails en SPELD te stelen. Gevangen wordt screenshots bewaard met het volgende van filename:
%TEMP%\tmp_[RANDOM CHARACTERS].jpg
Nota: %Temp% is een variabele die naar de Vensters tijdelijke omslag doorverwijst. Door gebrek, is dit C:\Windows\TEMP (Vensters 95/98/Me/XP) of C:\WINNT\Temp (Vensters NT/2000).
Verandert HTTP- gegevens die naar sommige bankwebsites door douane Javascript en de code van HTML in de huidige zitting van HTTP worden verzonden in te spuiten.
Post alle logboekdossiers het aan de volgende Websites leidt tot:
[ http://]pipiski.info/mail[REMOVED ]
[ http://]knizhki.net/mail[REMOVED ]
[ http://]realepay.net/mail[REMOVED ]
Verzendt een HTTP- verzoek naar de volgende Websites:
[ http://]pipiski.info/logi[REMOVED ]
[ http://]knizhki.net/logi[REMOVED ]
[ http://]realepay.net/logi[REMOVED ]
Verzendt de volgende gegevens, die het van de gecompromitteerde computer verzamelt, aan één van de Hierboven vermelde websites:
Gebruikersbenaming
Geopend havenaantal
Het type van verbinding (modem of LAN)
De uitvoer van om het even welke sectie van de Registratie van Vensters (plaatselijk bewaard als C:\b.reg)
Lijst van actieve processen
De inhoud van het dossier C:\boot.ini
De download van mei en voert een ver dossier uit, dat in de volgende omslag wordt opgeslagen:
%Temp%\tml_[RANDOM CHARACTERS].exe
De Reactie van de Veiligheid van Symantec moedigt alle gebruikers en beheerders aan om de volgende basisveiligheid "beste praktijken" aan te hangen:
De draai weg en verwijdert de onnodige diensten. Door gebrek, installeren vele werkende systemen de hulpdiensten die niet kritiek, zoals een server van FTP, Telnet, en een server van het Web zijn. Deze diensten zijn wegen van aanval. Als zij worden verwijderd, hebben de gemengde bedreigingen minder wegen van aanval en u minder diensten hebben door flardupdates te handhaven.
Als een gemengde bedreiging één of meerdere netwerkdiensten exploiteert, maak, of blokkeer toegang tot onbruikbaar, die diensten tot een flard wordt toegepast.
Houd altijd uw flardniveaus, vooral op computers bijgewerkt die openbare diensten ontvangen en toegankelijk door de firewall, zoals HTTP, FTP, post, en DNS de diensten zijn (bijvoorbeeld, zouden alle Op Windows gebaseerde computers het huidige geïnstalleerde Pak van de Dienst moeten hebben). Bovendien, te passen gelieve om het even welke veiligheidsupdates toe die in dit verslag, in de vertrouwde op Bulletins van de Veiligheid, of op verkopersWebsites worden vermeld.
Dwing een wachtwoordbeleid af. De complexe wachtwoorden maken het moeilijk om wachtwoorddossiers op gecompromitteerde computers te barsten. Dit helpt om schade te verhinderen of te beperken wanneer een computer wordt gecompromitteerd.
Vorm uw e-mailserver om e-mail te blokkeren of te verwijderen die dossiergehechtheid bevat die algemeen wordt gebruikt om virussen, zoals vbs, bat, exe, pif en scr dossiers uit te spreiden.
Isoleer snel besmette computers om verder het compromitteren van uw organisatie te verhinderen. Voer een gerechtelijke analyse uit en herstel de computers gebruikend vertrouwde op media.
Leid werknemers op om gehechtheid niet te openen tenzij zij hen verwachten. Ook, voer geen software uit die van Internet wordt gedownload tenzij het voor virussen is afgetast. Eenvoudig kan het bezoeken van een gecompromitteerde Website besmetting veroorzaken als bepaalde browser kwetsbaarheid niet hersteld is.