"Тайната на програмата"
Къде: KnAAPO. Много тайна програма. ) :) :) :) :) :) :):
. Името не е известна
откриване:
присъствие в% температура библиотека% папка с звучното име shook.dll и те. DLL. След като в C: \ Windows \ winSxS \.
Прочетете доколкото е възможно, черници
"Памук" работа с компютър. Например, 3 - RD пъти, работили за превъртане :) :).
От пръски на екрана започва да боли очите.
Работещи - autoruns.exe (Sysinternals на пакета).
Пулсиращ мрежовия трафик.
Технически данни:
ите програма. DLL зареден използване Winlogon. Клон в регистъра HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon \ Изпращайте.
Намирането модул натоварване в зависимост от пътя в системния регистър.
Това - е, образно казано, това е обичайната руткит или virusnyak или мониторинг програмата (които, както ви харесва).
Следете всички клавиши на клавиатурата, започва процеса, както и да правите снимки с екрана.
Като цяло, тази рана е много по-лошо, отколкото си конкурент - LanAgent. въпреки че тя използва един и същ механизъм за разпределение - Winlogon.
Чудя се как програмата за регистър пише неговите настройки
1 се простира върху регистъра
2-имена)
Pavlich.reg HKEY_LOCAL_MACHINE \ SOFTWARE \ Pavlich
Cherish.reg HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Cherish
IntelliAdmin
откриване:
непрекъснато изгаряне върху иконата Мрежови връзки (а не обичайните мига) - ме накара да мисля, че компютърът работи програмата за отдалечено администриране (като DameWare, отдалечено AnyWare, Radmin.). Човек може да види на администратора реши да покаже.
Технически данни:
"C: \ WINNT \ IntelliAdmin \ iadmin.exe" -service
VideoHook.dll
наличието на ключа на системния регистър
[HKEY_LOCAL_MACHINE \ SOFTWARE \ IntelliAdmin]
[HKEY_LOCAL_MACHINE \ SOFTWARE \ IntelliAdmin \ сървър]
"DisableLocalInputs" = DWORD: 00000000
.
"NeverShared" = DWORD: 00000001
"-Порт" = DWORD: 00000ae6
"SecurityTypes" = "VncAuth"
"UseCaptureBlt" = DWORD: 00000000
"UseHooks" = DWORD: 00000001
"Парола" = хекс: бб, 4d, a7,50, c1,8a, 60, ее
"IntelliAdmin_Version" = DWORD: 0132290f
Къде: KnAAPO
Корпоративна наслагват защитена мрежа "(KNZS) = ACT" APM AMA "+ SPO" Accord TSHM "
Производител.
ЗАО "ОКБ SAPR"
откриване:
Документация и инсталационните файлове са в публичното пространство.
Технически подробности.
Документация. Accord.rar
Свързани статии