Shockwave
(alias CREATIVE, TROJ_PROLIN.A), jak zwykle uważajmy na załączniki poczty !
Tradycyjnie już Trojan wykorzystuje
Microsoft Outlook. Rozsyła się wraz z załącznikiem pod każdy z
odnalezionych adresów. Oto przykładowy "rysopis" niebezpiecznej
wiadomości:
Temat: A great Shockwave
flash movie
Wiadomość: Check out his new flash movie that I download just
now...It's Great
Załącznik: CREATIVE.EXE
Po uruchomieniu załącznika
Trojan kopiuje się do katalogu:
C:\creative.exe
%Windows Startup%\creative.exe
Gdzie %Windows Startup% jest folderem startowym Windows. Dzięki temu może się
uruchamiać po każdorazowym starcie systemu. Tworzony jest także plik C:\ MESSAGEFORU.TXT,
który zawiera spis poczynionych modyfikacji. Najbardziej spektakularna jest
przesunięcie wszystkich plików JPG i ZIP do katalogu głównego dysku C:\.
Zmieniane są nazwy plików, np. plik "XXXX.ZIP" nazywa się
"XXXX.ZIPchange atleast now to LINUX". Plik C:\MESSAGEFORU.TXT
zawiera linki do oryginalnych lokacji plików, co można wykorzystać w celu
odtworzenia ich umiejscowienia.
Plik C:\ MESSAGEFORU.TXT zawiera następujący
tekst:
Hi, guess
you have got the message. I have kept a list of files that I have infected
under this. If you are smart enough just reverse back the process. i could
have done far better damage, i could have even completely wiped your harddisk.
Remember this is a warning & get it sound and clear... - The Penguin
a pod adres email z14xym432@yahoo.com
kierowana jest wiadomość o następującej treści:
Temat: Job complete
Wiadomość: Got yet another idiot
Jak usunąć ?
- Wykorzystać program fix_shockwave.exe
(działa pod WinNT, Win2k & Win9x) w celu przywrócenia pierwotnej
lokalizacji przesuniętych plików oraz wykasowania kodu wirusa. Wskazane
jest, aby zapoznali się Państwo z krótkim opisem
- Skanować zasoby programami antywirusowymi
Trend Micro i skasować wszystkie pliki
zidentyfikowane jako TROJ_SHOCKWAVE.A. Wykorzystywać najnowsze wersje
szczepionek.
Posiadacze Trend
eManager mogą zablokować Trojana w następujący sposób:
- Wskazać na eManager "Content
Management" "Anti-Spam" tab
- Wcisnąć klawisz "Add" w
Current Rule. Wyświetlone zostanie okienko "Add Rule" .
- Wybrać "rule name" jako
"Shockwave". Ustawić "Subject" jako "A great
shockwave flash movie"
- Wcisnąć "OK" w okienku
"Add Rule".
- Wcisnąć "Apply" .
W celu zablokowania załącznika Trojana:
- Przejść do "Content
Management" "Specialize Filter" tab
- Dodać "creative.exe" do pola
nazw.
- Wcisnąć "Apply"
