Negli ultimi giorni si sta diffondendo abbastanza pesantemente un nuovo fraudtool sulla falsa riga di tutti i suoi predecessori, che presenta però alcune fondamentali differenze.
A differenza dei suoi predecessori infatti, oltre a rivelarsi molto fastidioso e ad impedire l'utilizzo del computer con i soliti finti messaggi di errori, false infezioni e problemi sul disco, il Windows Recovery imposta l'attributo hidden (nascosto) a tutti i file del computer, disabilità il Desktop e sposta tutti i collegamenti del Menu Avvio e del Quick Launch in una sua cartella temporanea, in modo che all'utente sembri davvero che il computer stia andando in malora e che i messaggi di errore siano veritieri.
Il Windows Recovery è composto principalmente da due componenti identificabili in due diversi file. Entrambi si trovano nella cartella C:\Documents and Settings\All Users\Dati Applicazioni.
I due file hanno rispettivamente come icona una X rossa e il simbolo di Windows, entrambi hanno nomi casuali (il primo formato esclusivamente da caratteri mentre il secondo solo da numeri, ad esempio DQMiuyMNARayQk.exe e 15293548.exe).
Parte con Windows creando una chiave di registro in HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run relativa al primo file, che poi si occupa di eseguire il secondo. Se è attivo
Vir.IT Security Monitor verrà segnalata la presenza dell'intruso appena questa chiave viene creata.
Inoltre, abbiamo registrato nella maggior parte dei casi, l'insorgere di un'infezione da Win32.TDSS.H, rootkit che fa parte della famiglia del TDL e che infetta il file di sistema volsnap.sys rendendone impossibile la lettura o la sovrascrittura. La sua rimozione è lievemente più complessa di quella del FraudTool ed è consigliabile contattare il supporto tecnico TG Soft per chi è titolare di una licenza d'uso Vir.IT eXplorer PRO.
 |
Si presenta con un'interfaccia molto accattivante e appena si avvia inizia una finta scansione del disco che finirà inevitabilmente con una serie di errori che richiedono l'acquisto della (inesistente) versione completa. Naturalmente è solo una scusa per far immettere il proprio numero di carta di credito in una apposita finestra del FraudTool, molto simile graficamente a Internet Explorer per farlo sembrare un sito vero.
|
In questo modo i realizzatori di questo FraudTool (come quelli di tutti gli altri), sono in grado di avere tutti i dati necessari per poter clonare le carte di credito di chi ha malauguratamente deciso di acquistare un software che non conosce, che si è installato da solo e che promette di avere la soluzione a tutti i problemi.
Per rimuovere e riportare la situazione del computer allo stato precedente all’infezione, basta seguire alcuni semplici passi:
- Fare una scansione con Vir.IT eXplorer PRO dopo averlo aggiornato tramite l’aggiornamento online
- Dal Menu Tools di Vir.IT eXplorer cliccare su Ripara IE + Impostazioni Windows
- Da Pannello di Controllo --> Opzioni Cartella impostare la visualizzazione delle cartelle e dei file nascosti
- Eseguire il file C:\VirITeXp\fixhidden.bat per il ripristino dei file nascosti e C:\VirITeXp\ripara_start.bat per ripristinare i collegamente del menu di Avvio e della Quick Launch di Windows
- Riavviare il Computer
Roberto Spagliccia
C.R.A.M. - TG Soft
