В сети "разгулялся" новый троянский вирус Trojan.GBPBoot.1. - по сути примитивная программа интересна тем, что обладает способностью к "регенерации". Вредоносное действие этого побочного ПО ограничивается загрузкой и запуском файлов с удаленных серверов, также вирус провоцирует запуск программ, которые не установлены непосредственно на зараженном компьютере.
Но именно способность к самовостановлению, которая сводит на нет попытки удалить троянца, выделяют эту программу из числа ей подобных.
В Trojan.GBPBoot.1 есть несколько модулей: первый записывает вне файловой системы загрузочный модуль вируса, последний, в свою очередь, сохраняет в системной папке динамическую библиотеку и конфигурационный файл, которые регистрируются как системная служба, происходит запуск службы, после этих действий инсталлятор удаляет сам себя.
Системная служба через побочный конфигурационный файл связывается с удаленным сервером, на который отправляет данные о зараженном компьютере, после производит попытку загрузить на устройство исполняемые файлы, которые передает данный сервер. Если "миссия" проваливается, вирус восстанавливает соединения после перезагрузки системы.
Если вирусный файл удаляют, запускается механизм самовосстановления - при запуске операционной системы модифицированная трояном загрузочная запись проверяет наличие на диске вирусного файла. Обнаружив отсутствие Trojan.GBPBoot.1 система регенерации вируса заменяет стандартный файл explorer.exe на собственный, который и содержит "инструмент самовосстановления", потом происходит загрузка побочного файла одновременно с загрузкой ОС.
"Левый" вариант explorer.exe заново провоцирует заражение, после чего "возвращает" и запускает оригинальный файл explorer.exe.
Потому привычное сканирование компьютера антивирусами не всегда способно обнаружить нового троянца - этому может помешать защищенная система, в которой вирус себя восстанавливает.
