Ho ricevuto stamattina dall’utente Matteo_GMG una segnalazione di nuove varianti dell’ormai famigerato service32.exe. Ho passato l’intero primo pomeriggio a lavorarci su. I programmatori hanno cambiato la struttura dei file eseguibili, compressi ora con TeLock e hanno ampliato i nominativi delle dll, che ora risultano essere:

C:\WINDOWS\iexplorer32.dll
C:\WINDOWS\mdm32.dll
C:\WINDOWS\scrss32.dll
C:\WINDOWS\spoolvs32.dll
C:\WINDOWS\syshost.dll
C:\WINDOWS\syst32.dll
C:\WINDOWS\winsmgr32.dll

Per il resto non ci sono grosse differenze, l’analisi che avevo fatto precedentemente a questo indirizzo resta valida, cosí come restano valide le tecniche di rimozione.

Ho aggiornato il database di Prevx per le ultime varianti di questo rootkit, che ho denominato Rootkit.DialCall.

-------------

Post correlati:

1. Altra variante di Service32.exe
2. service32.exe, syst32.dll e syshost.dll – di cosa trattasi?

• Previous Entry: Gromozon riaffila le armi, rafforziamo le difese del pc
• Next Entry: Copyright