О вящей безопасности. Очередной троянчик :)

[qkowlew]

У одного из клиентов пропал с рабочего стола "Самый Важный!" Excel .xls документ со всеми контактами и телефонами. Когда он вставил в этот комп флешку, на которой лежала копия оного документа - то пропала и оная копия.

Исследование показало, что на компе был написанный на классическом .vbs вижуал басике троян, пришедший с вордовым документом в неизвестный момент времени.

Действия трояна:
- Посмотреть список Recent Files офиса и пройтись по файлам.
- в екселевском файле удаляется и создаётся заново Лист 1
- файл сохраняется (с пустым листом 1)
- такое же делается с Лист 2, потом Лист 3
- при обнаружении полностью очищенного екселевского файла он удаляется.

Что ЕЩЁ РАЗ подтверждает многократно говоримые мной слова о том, что:
Резервная копия не должна быть доступна для изменения и-или удаления теми же средствами, что основной экземпляр информации.

Comments

[evgen2.livejournal.com]

у мене тут давече у одного килиента в венде XP пропала напрочь сеть, я как умный вставляю вместо нутряной наружную сетевую карточку, а она на появляется в списке устройств... причем на паре других компов - откуда предположительно принесли гадость и куда еще отнесли сеть не пропадает....
Кроме того, "пропала флешка" в одной дырке... Внешне всё нормально, кондёры не вздутые

[nyasha-01.livejournal.com]

Достаточно ли иметь лицензионный касперский со свежими обновлениями?
У меня много всего в ворде и экселе, было бы печально.

[qkowlew.livejournal.com]

главная печаль - не конкретный троян.
главная печаль - что правильный способ резервного копирования сравнительно сложен для пользователя. Пользователю для этого обычно не хватает представлений. :(

[mindfactor.livejournal.com]

Ни одни антивирус не даёт 100% гарантию защиты.
Це надо выучить как отче-наш.

[shadowfoto.livejournal.com]

а в чем смысл троянчика, тупо "п..ц вашим документам"?

[qkowlew.livejournal.com]

Сохранившаяся часть - тупо п...ц, ничего более.
Просто нет никакого другого кода.

Так как троян появился сильно раньше, и вообще прошло достаточно много времени к тому моменту, как я добрался до этого компа и флешки, у меня есть основания считать, что основная часть трояна отослала содержимое файлов хозяину оного. Ну а что дальше?
- то ли он намеревался слупить с узера денег за возвращение файлов
- то ли это был целевой троян, охотившийся на контактную информацию
Внешних логов, консистентных этой машине в соответствующий период времени, мне взять неоткуда, да и их анализ, как мы помним, не всегда результативен. :)