Listája titkos programok a vállalkozások
„Titkos” A program
Hol: KnAAPO. Nagyon titkos programot. ) :) :) :) :) :) :):
. A neve nem ismert
detektálás:
jelenlét% temp% mappában könyvtár a hangzatos nevet shook.dll és s. dll. Miután a C: \ Windows \ winsxs \.
Olvasd amennyire lehetséges faeper
„Pamut” számítógépes munkát. Például a 3 - rd alkalommal dolgozott görgetősáv :) :).
Fröccsenés a képernyőn megfájdult a szemét.
Futás - autoruns.exe (Sysinternals a csomag).
Időszakos hálózati forgalmat.
Technikai részletek:
s programot. dll segítségével megtöltjük Winlogon. Branch a registry-ben: HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon \ Értesítést.
Megtalálása töltőmodul függ az út a rendszerleíró adatbázisban.
Ez - az, képletesen szólva, ez volt a szokásos rootkit vagy virusnyak vagy megfigyelési program (aki, ahogy tetszik).
Kövesse nyomon az összes karakternél a billentyűzeten, indítsa el a folyamatot, és hogy a képek a képernyőn.
Általában ez a hack sokkal rosszabb, mint a versenytársa - LanAgent. bár ez használ egy és ugyanazon mechanizmus forgalmazás - Winlogon.
Kíváncsi vagyok, hogy a nyilvántartó program írja a beállításokat
1 szétterül a registry
2-nevek;)
Pavlich.reg HKEY_LOCAL_MACHINE \ SOFTWARE \ Pavlich
Cherish.reg HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Ápolja
IntelliAdmin
detektálás:
folyamatosan égő a Hálózati kapcsolatok ikonra (nem pedig a szokásos villogó) - jutott eszembe, hogy a számítógépen fut a távoli adminisztrációs program (mint DameWare, távoli Anyware, RAdmin.). Láthatjuk a rendszergazda úgy döntött, hogy megmutassa.
Technikai részletek:
"C: \ WINNT \ IntelliAdmin \ iadmin.exe" -szolgáltatás
VideoHook.dll
a jelenléte a regisztrációs kulcs
[HKEY_LOCAL_MACHINE \ SOFTWARE \ IntelliAdmin]
[HKEY_LOCAL_MACHINE \ SOFTWARE \ IntelliAdmin \ Server]
"DisableLocalInputs" = dword: 00000000
.
"NeverShared" = dword: 00000001
"PortNumber" = dword: 00000ae6
"SecurityTypes" = "VncAuth"
"UseCaptureBlt" = dword: 00000000
"UseHooks" = dword: 00000001
"Jelszó" = hex: bb, 4d, a7,50, c1,8a, 60, EE
"IntelliAdmin_Version" = dword: 0132290f
Ahol: KnAAPO
Corporate egymásra biztonságos hálózati "(KNZS) = ACT" APM AMA "+ SPO" Accord TSHM "
Gyártó.
ZAO "OKB SAPR"
detektálás:
Dokumentáció és telepítési fájlok voltak nyilvánosak.
Technikai részleteket.
Dokumentációt. Accord.rar