Вирусы снова удаляют антивирусы

Компания «Dr.Web» выявила новый метод блокирования работы антивирусов. Несколько лет назад многие антивирусные разработчики включили в свои программы систему самозащиты, но, несмотря на это авторы вредоносных программ по-прежнему находят уязвимые места и удаляют компоненты антивирусной защиты из системы.

Для реализации такого метода можно использовать Trojan.VkBase.1. В поисках какой-либо приватной информации пользователь попадает на сайт, который предлагает просмотреть запрашиваемую информацию участников одной из популярных социальных сетей «В Контакте». Под видом требуемой информации на сам компьютер попадает исполняемый файл, который антивирусом Dr.Web определяется как Trojan.VkBase.1.

После запуска данного файла появляется окно Проводника Windows, который предоставляет якобы обещанную на сайте информацию. А в это же время вредоносная программа производит установку в системе и занимается поиском установленных антивирусов. После завершения поиска, осуществляется перезагрузка компьютера в безопасном режиме, при этом установленный антивирус удаляется из системы. Программа обладает процедурами удаления большинства известных антивирусных продуктов.

Самозащита Dr.Web SelfPROtect также работает и в безопасном режиме Windows, поэтому для удаления Dr.Web вредоносная программа использует дополнительный компонент Trojan.AVKill.2942, который присваивает уязвимость данного модуля. Для удаления многих других антивирусов такие модули данной программе не нужны были.

После удаления антивируса происходит обычная перезагрузка компьютера, а затем происходит блокировка доступа к системе. Разблокировать систему злоумышленники предлагают при помощи отправки смс на определенный номер. Также может появляться и ложная информация о том, что якобы все содержимое компьютера будет уничтожено в течение 90 минут.

После разблокировки, программа при помощи своих компонентов имитирует установленный антивирус. При нажатии на значок антивируса появляется окно, в котором указано, что компьютер по-прежнему находится под защитой. При нажатие на картинку, она тут же закрывается. Поэтому для неопытных пользователей создается иллюзия обычного антивирусного программного обеспечения, которое работает в стандартном режиме. Но на самом деле все давно уже не так.