Trojan-Clicker alias Hacktool.Rootkit
Qualche mese fą, sulla maggior parte dei forum dediti alla sicurezza informatica si cominciavano a leggere sempre piu topic di utenti che lamentavano la presenza di due file service32.exe o syst32.dll ,impossibili da eliminare .Gli esperti che hanno analizzato la minaccia, si sono resi subito conto di trovarsi di fronte ad un altro malware con funzioni da rootkit user mode, il quale vą ad impossessarsi delle API riguardanti la libreria (ntdll.dll) . Il rootkit crea subito due entrate nel registro ;
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run 1 = "C:\WINDOWS\service32.exe" HKEY_LOCAL_MACHINE\SOFTWARE\9F65E3H10M (i numeri potrebbero cambiare) Dopo le due entrate nel registro , con le modalitą di un browser hijack, vą a dirottare la pagina iniziale del browser, in modo da potersi collegare ai domini infetti, per poi poter scaricare altri file utili a prendere il pieno possesso del sistema , tra cui un dialer denominato it_xxxx.exe che vą ad installarsi nei file temporanei di Windows .(le xxxx sono sotituite da numeri casuali)
Con il passare del tempo il team creatore del rootkit ,se pur di poco ha cambiato le caratteristiche di quest'ultimo. Cambiato lo strumento di compressione dei file , ed ampliata la lista dei file infetti con la creazione di nuove varianti . Proprio in questi ultimi giorni si č avuto notizia che forse service32.exe sarebbe in qualche modo legato all'ormai famoso team gromozon , e che inoltre abbia ancora una volta aggiornato le sue caratteristiche di infezione. Sembrerebbe infatti che le ultime varianti,vanno ad installare negli ADS dei sistemi con file system NFTS un'altro rootkit , kernel mode questa volta, tra l'altro gią conosciuto come PE386 , in grado di nascondere ulteriormente altri trojan e backdoor.
Vediamo come rimuovere questa minaccia;
Fortunatamente la rimozione di questo rootkit, non ha niente a che vedere con la lunghissima trafila da seguire per linkoptimizer .
Infatti per disattivare il rootkit user mode service32.exe ,basta eliminare la sua chiave di avvio nel registro; HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
1 = C:\Windows\Service32.exe
Per eliminare fisicamente il file fatevi aiutare da GMER , che inoltre č utile anche per eliminare il rootkit kernel mode , installato dalle nuove varianti.
L'operazione che segue č riservata solo ai possessori di sistema con file system NFTS.
Scaricate e decomprimete ADSSpy
Di seguito la maggior parte delle varianti di questo malware ;
(I file in rosso indicano le ultime varianti le quali installano anche il file lzx32.sys identificato come Backdoor.Rustock negli ADS della directory System32)
Come rimuovere il Master Boot Record Rootkit