Cách nhận biết một số phần mềm an ninh giả mạo phổ biến hiện nay - Tác giả : pqson1

Công Nghệ - An Ninh Bảo Mật

Giới thiệu chung:

Các bước:

Bước 1

B0B302F772
C197C46C46
B20C1467B7
041E4B235A
25CCCC7329
9926220EED
A58EC19D33
C15F2FF276
F61E370D62
DDAD6A7A2C
9F8122FE00
3754DD9DA6
3DC52EA100
EE73BBFFA6
7E61C9C7DF
EE34D2E8A7
AA61971AA1
9D2510E3E8

Khi cài đặt, A-Fast Antivirus sẽ copy những file sau vào ổ cứng:

%UserProfile%Local SettingsApplication Data[ký tự ngẫu nhiên]
%UserProfile%Local SettingsApplication Data[ký tự ngẫu nhiên][ký tự ngẫu nhiên]tssd.exe

Và khởi tạo những khóa sau trong registry:

HKEY_CURRENT_USERSoftwareA-fast
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVe rsionPoliciesSystem "DosableTaskMgr" = "1"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVe rsionRun "fast"
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesShare dAccessParametersFirewall
PolicyStandardProfileAuthorizedApplicationsList "Crogram FilesA-fastA-fast.exe"

Màn hình chính của chương trình

 

Bước 2

%UserProfile%DesktopAKM Antivirus 2010 Pro.lnk
%UserProfile%Start MenuProgramsAKM Antivirus 2010 Pro
%UserProfile%Start MenuProgramsAKM Antivirus 2010 ProAKM Antivirus 2010 Pro.lnk
C:Program Filesdc32.dll
C:Program Fileslggui.exe
C:Program Files uar.old
C:Program Filesskynet.dat
C:Program Filessvchost.exe
C:Program Fileswp3.dat
C:Program Fileswp4.dat
C:Program Fileswpp.exe
C:Program FilesAKM Antivirus 2010 Pro
C:Program FilesAKM Antivirus 2010 ProAKM Antivirus 2010 Pro.exe
%Temp%win1.tmp
%Temp%win2.tmp

Và tiếp tục tạo ra khóa registry sau:

HKEY_CURRENT_USERSoftwareAKM Antivirus 2010 Pro

Màn hình chính của ứng dụng:

Bước 3

APcSecure, DefendAPc, SysDefenders, InSysSecure, SysProtector, APcDefender, PcsProtector, GreatDefender, APCprotect, ProtectPcs, SysDefence, TheDefend, GuardPcs, IGuardPc, SiteAdware, AntiTroy, AntiKeep, AntiAdd, RESpyWare, REAnti, KeepCop, SiteVillain, LinkSafeness, SecureKeeper, AntiAID, System Warrior, System Veteran, System Fighter, Block Protector, Block Keeper, Block Scanner, Block Watcher, SoftBarrier, Shield Safeness, Soft Stronghold, Soft Veteran, SoftCop, Soft Soldier, Trust Fighter, Trust Soldier, Safe Fighter, Trust Cop, Secure Warrior, Secure Fighter, Secure Veteran, Security Soldier, Security Fighter, Save Armor, Save Defender, Trust Warrior, Soft Safeness, Safety Keeper, Save Keeper, Quick Heal Cleaner, System Cop, Block Defense, Save Defense, Trust Ninja, Save Soldier, Save Keep, Winishield, Wini Fighter, WiniBlueSoft.

Sau khi cài đặt thành công vào máy tính của nạn nhân, APcSafe sẽ tạo ra số lượng nhất định các file rỗng với dung lượng và tên gọi khác nhau. Và khi rà soát, APcSafe sẽ tự phát hiện những file đó là mã độc, có hại cho hệ thống và yêu cầu người dùng mua bản quyền đầy đủ của chương trình.

Chính xác APcSafe sẽ copy những file sau vào ổ cứng:

%ProgramFiles%APcSafe SoftwareApcSafeApcSafe.exe
%ProgramFiles%APcSafe SoftwareApcSafemain_config.xml
%ProgramFiles%APcSafe SoftwareApcSafeuninstall.exe
%AllUsersProfile%DesktopApcSafe.lnk
%AllUsersProfile%Start MenuProgramsApcSafe
ApcSafe.lnk
%AllUsersProfile%Start MenuProgramsApcSafe Homepage.lnk
%AllUsersProfile%Start MenuProgramsApcSafe Uninstall.lnk

Và những khóa registry sau:

HKEY_LOCAL_MACHINEsoftwareApcSafe
HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionUninstallApcSafe
HKEY_CURRENT_USERsoftwareApcSafe
HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionRun, "ApcSafe"
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionRun, "ApcSafe"

Giao diện chính của ApcSafe:

Bước 4

ProtectSoldier, ProtectDefender, ArmorDefender, DefendAPc, SysDefenders, InSysSecure, SysProtector, APcDefender, PcProtectar, PcsProtector, GreatDefender, APCProtect, ProtectPcs, SysDefence, TheDefend, GuardPcs, IGuardPc, SiteAdware, AntiTroy, AntiKeep, AntiAdd, RESpyWare, REAnti, KeepCop, SecureKeeper, LinkSafeness, AntiAid, SystemFighter, SystemVeteran, BlockProtector, BlockKeeper, BlockScanner, BlockWatcher, SoftStronghold, ShieldSafeness, SoftVeteran, SoftSoldier, SoftCop, TrustFighter, TrustSoldier, SafeFighter, SecureVeteran.

Giống như ApcSafe, khi cài đặt thành công vào máy tính nạn nhân, APcSecure sẽ tự động tạo ra số lượng nhất định các file rỗng với nhiều tên gọi khác nhau. Khi tiến hành rà soát, APcSecure sẽ tự động phát hiện ra đúng những file này và yêu cầu người dùng mua bản quyền chương trình để xóa bỏ tận gốc những file trên.
APcSecure sẽ copy những file sau vào ổ hệ thống:

%ProgramFiles%APcSecure SoftwareAPcSecureAPcSecure.exe
%ProgramFiles%APcSecure SoftwareAPcSecuremain_config.xml
%ProgramFiles%APcSecure SoftwareAPcSecureuninstall.exe
%AllUsersProfile%DesktopAPcSecure.lnk
%AllUsersProfile%Start MenuProgramsAPcSecure
APcSecure.lnk
%AllUsersProfile%Start MenuProgramsAPcSecure Homepage.lnk
%AllUsersProfile%Start MenuProgramsAPcSecure Uninstall.lnk

Và những khóa registry sau:

HKEY_LOCAL_MACHINEsoftwareAPcSecure
HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionUninstallAPcSecure
HKEY_CURRENT_USERsoftwareAPcSecure HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionRun, "APcSecure"
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionRun, "APcSecure"

Một số hình ảnh của chương trình:

Bước 5

%Documents and Settings%[UserName]Local SettingsApplication Data[ký tự ngẫu nhiên][ký tự ngẫu nhiên]tssd.exe

Đồng thời tạo ra những khóa registry sau:

HKEY_CURRENT_USERSoftwareAvScan
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionRun "[random characters]"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurr entVersionRun "[random characters]"
HKEY_CURRENT_USERSoftwarevsoft
HKEY_CURRENT_USERSoftwarevsuite
HKEY_LOCAL_MACHINESOFTWAREvsoft
HKEY_LOCAL_MACHINESOFTWAREvsuite
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerDownload "RunInvalidSignatures" ="1"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionInternet Settings "ProxyOverride" = "<local>"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionInternet Settings "ProxyServer" = "http=127.0.0.1:5555"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionPoliciesAssociations "LowRiskFileTypes" = ".exe"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionPoliciesAttachments "SaveZoneInformation" = "1"

Giao diện chính của chương trình:

Bước 6

%UserProfile%Local SettingsApplication Data%random%%random%.exe

Và tạo những khóa registry sau:

HKEY_LOCAL_MACHINEsoftwareAVSolution
HKEY_LOCAL_MACHINEsoftwareAVSuitE
HKEY_CURRENT_USERsoftwareAVSolution
HKEY_CURRENT_USERsoftwareAVSuitE
HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionRun, "%random%"
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionRun, "%random%"
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionInternet Settings
ProxyServer = http=127.0.0.1:5643
ProxyOverride = <local>
HKEY_CURRENT_USERsoftwareMicrosoftInternet ExplorerPhishingFilter
EnabledV8 = 0×00000000 (0)
Enabled = 0×00000000 (0)

Một số hình ảnh của chương trình:

Bước 7

%ProgramFiles%AntivirusAvBho.dll
%ProgramFiles%AntivirusUninstall.exe
%ProgramFiles%Antiviruswscsvc32.exe
%ProgramFiles%AntivirusAntivirus.exe
%AllUsersProfile%DesktopAntivirus.lnk
%AllUsersProfile%Start MenuProgramsAntivirusAntivirus.lnk
%AllUsersProfile%Start MenuProgramsAntivirusUninstall.lnk
%UserProfile%Application DataMicrosoftInternet ExplorerQuick LaunchAntivirus.lnk
%UserProfile%Local SettingsTempwinupd64x.exe

Và tạo những khóa registry sau:

HKEY_LOCAL_MACHINEsoftwareAntivirus
HKEY_LOCAL_MACHINEsoftwareClassesAvBho.AvBhoApp
HKEY_LOCAL_MACHINEsoftwareClassesAvBho.AvBhoApp CLSID
HKEY_LOCAL_MACHINEsoftwareClassesAvBho.AvBhoApp CurVer
HKEY_LOCAL_MACHINEsoftwareClassesAvBho.AvBhoApp .1
HKEY_LOCAL_MACHINEsoftwareClassesAvBho.AvBhoApp .1CLSID
HKEY_LOCAL_MACHINEsoftwareClassesclsid{9d541c6 a-573b-4888-b35e-6816e68c3620}
HKEY_LOCAL_MACHINEsoftwareClassesclsid{9d541c6 a-573b-4888-b35e-6816e68c3620}InprocServer32
HKEY_LOCAL_MACHINEsoftwareClassesclsid{9d541c6 a-573b-4888-b35e-6816e68c3620}ProgID
HKEY_LOCAL_MACHINEsoftwareClassesclsid{9d541c6 a-573b-4888-b35e-6816e68c3620}Programmable
HKEY_LOCAL_MACHINEsoftwareClassesclsid{9d541c6 a-573b-4888-b35e-6816e68c3620}TypeLib
HKEY_LOCAL_MACHINEsoftwareClassesclsid{9d541c6 a-573b-4888-b35e-6816e68c3620}VersionIndependentProgID
HKEY_LOCAL_MACHINEsoftwareClassesInterface{967 A494A-6AEC-4555-9CAF-FA6EB00ACF91}
HKEY_LOCAL_MACHINEsoftwareClassesInterface{967 A494A-6AEC-4555-9CAF-FA6EB00ACF91}ProxyStubClsid
HKEY_LOCAL_MACHINEsoftwareClassesInterface{967 A494A-6AEC-4555-9CAF-FA6EB00ACF91}ProxyStubClsid32
HKEY_LOCAL_MACHINEsoftwareClassesInterface{967 A494A-6AEC-4555-9CAF-FA6EB00ACF91}TypeLib
HKEY_LOCAL_MACHINEsoftwareClassesInterface{969 2BE2F-EB8F-49D9-A11C-C24C1EF734D5}
HKEY_LOCAL_MACHINEsoftwareClassesInterface{969 2BE2F-EB8F-49D9-A11C-C24C1EF734D5}ProxyStubClsid
HKEY_LOCAL_MACHINEsoftwareClassesInterface{969 2BE2F-EB8F-49D9-A11C-C24C1EF734D5}ProxyStubClsid32
HKEY_LOCAL_MACHINEsoftwareClassesInterface{969 2BE2F-EB8F-49D9-A11C-C24C1EF734D5}TypeLib
HKEY_LOCAL_MACHINEsoftwareClassesTypelib{65DA0 CE6-30D1-4144-A0B6-59BD01372E26}
HKEY_LOCAL_MACHINEsoftwareClassesTypelib{65DA0 CE6-30D1-4144-A0B6-59BD01372E26}
.0
HKEY_LOCAL_MACHINEsoftwareClassesTypelib{65DA0 CE6-30D1-4144-A0B6-59BD01372E26}
.0
HKEY_LOCAL_MACHINEsoftwareClassesTypelib{65DA0 CE6-30D1-4144-A0B6-59BD01372E26}
.0win32
HKEY_LOCAL_MACHINEsoftwareClassesTypelib{65DA0 CE6-30D1-4144-A0B6-59BD01372E26}
.0FLAGS
HKEY_LOCAL_MACHINEsoftwareClassesTypelib{65DA0 CE6-30D1-4144-A0B6-59BD01372E26}
.0HELPDIR
HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionExplorerBrowser Helper Objects{9d541c6a-573b-4888-b35e-6816e68c3620}
HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionUninstallAntivirus
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionRun, "Antivirus.exe"
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionRun, "wscsvc32.exe"

Một số hình ảnh của chương trình:

Bước 8

%Documents and Settings%All UsersStart MenuAV7
%Documents and Settings%All UsersStart MenuAV7Antivirus7.lnk
%Documents and Settings%All UsersStart MenuAV7Uninstall.lnk
%Program Files%AV7
%Program Files%AV7ntivirus7.exe
%WINDOWS%SoftwareDistributionDataStoreLogs mp. edb
%WINDOWS%system32UpdateExplorer.dll
%UserProfile%DesktopAntivirus7.lnk

Và tạo những khóa registry sau:

HKEY_CURRENT_USERSoftwareEVA246
HKEY_CLASSES_ROOTCLSID{E2BFE352-A303-4EA8-88FE-CE35361D7E8B}
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurr entVersionExplorerBrowser Helper Objects{E2BFE352-A303-4EA8-88FE-CE35361D7E8B}
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionRun "AV7"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurr entVersionInternet Settings.0User AgentPost Platform "WinNT-EVI 12.03.2010"

Bước 9

%ProgramFiles%AVGTAntivirusGT.exe
%AllUsersProfile%Start MenuAVGTAntivirusGT.lnk
%AllUsersProfile%Start MenuAVGTUninstall.lnk
%UserProfile%DesktopAntivirusGT.lnk

Và tạo những khóa registry sau:

HKEY_CURRENT_USERsoftwareEVA50C
HKEY_CURRENT_USERsoftwareWinV2
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionRun, "AVGT"

Một số hình ảnh của chương trình:

Bước 10

%UserProfile%Local SettingsApplication Data%random%%random%sftav.exe

Và những khóa registry sau:

HKEY_CURRENT_USERsoftwarevsoft
HKEY_LOCAL_MACHINEsoftwaremicrosoftWindowsCurr entVersionRun, %random%
HKEY_CURRENT_USERsoftwareMicrosoftWindowsCurre ntVersionRun, %random%

Một số hình ảnh của Antivirus Soft:

Bước 11

%UserProfile%Local SettingsApplication Data[ký tự ngẫu nhiên]
%UserProfile%Local SettingsApplication Data[ký tự ngẫu nhiên][ký tự ngẫu nhiên]tssd.exe

Đồng thời tạo những khóa registry sau:

HKEY_CURRENT_USERSoftwarevsuite
HKEY_LOCAL_MACHINESOFTWAREvsuite
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerDownload "RunInvalidSignatures" = "1"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionInternet Settings "ProxyOverride" = "
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionInternet Settings "ProxyServer" = "http=127.0.0.1:5555"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionPoliciesAssociations "LowRiskFileTypes" = ".exe"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionPoliciesAttachments "SaveZoneInformation" = "1"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionRun "<random>"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurr entVersionRun "<random>"
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerDownload "CheckExeSignatures" = "no"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurre ntVersionInternet Settings "ProxyEnable" = "1"

Giao diện chính của chương trình:

Bước 12

PcsSecure, APcSafe, APcSecure, ProtectSoldier, ProtectDefender, ArmorDefender, DefendAPc, SysDefenders, InSysSecure, SysProtector, APcDefender, PcProtectar, PcsProtector, GreatDefender, APCProtect, ProtectPcs, SysDefence, TheDefend, GuardPcs, IGuardPc, SiteAdware, AntiTroy, AntiKeep, AntiAdd, RESpyWare, REAnti, KeepCop, SecureKeeper, LinkSafeness, AntiAid, SystemFighter, SystemVeteran, BlockProtector, BlockKeeper, BlockScanner, BlockWatcher, SoftStronghold, ShieldSafeness, SoftVeteran, SoftSoldier, SoftCop, TrustFighter, TrustSoldier, SafeFighter, SecureVeteran.

Sau khi Byte Defender được cài đặt vào hệ thống, ứng dụng này sẽ tự động tạo ra các file thừa với rất nhiều các tên gọi khác nhau. Khi người sử dụng kích hoạt tính năng quét toàn bộ hệ thống, Byte Defender sẽ liên tục tạo ra các thông điệp cảnh báo về virus, Trojan và worm sớm hơn trước khi chính thức tạo ra những file độc hại này. Đồng thời, những thông điệp này sẽ không bao giờ biến mất trừ khi người dùng mua bản quyền của chương trình.
Trong quá trình cài đặt, Byte Defender sẽ copy những file sau vào ổ cứng:

%ProgramFiles%ByteDefender SoftwareByteDefenderByteDefender.exe
%ProgramFiles%ByteDefender SoftwareByteDefenderUninstall.exe
%ProgramFiles%ByteDefender SoftwareByteDefenderlways_delete.xml
%ProgramFiles%ByteDefender SoftwareByteDefenderlways_skip.xml
%ProgramFiles%ByteDefender SoftwareByteDefenderquarantinequarantine.xml
%AllUsersProfile%Start MenuProgramsByteDefender.lnk
%UserProfile%DesktopByteDefender.lnk

Và tiếp tục tạo thêm những khóa sau trong hệ thống registry:

Bài viết liên quan: