Trojan.Favadd là loại Trojan có khả năng thay đổi cấu hình trang chủ của trình duyệt Internet Explorer thể hệ thống kết nối với các website nguy hiểm.

Hệ điều hành lây nhiễm

Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
 
Mô tả
Khi thực thi, Trojan.Favadd sẽ tiến hành các tác vụ sau:
 
1. Tự nhân bảo vào thư mục hệ thống dưới cái tên crcspider.ico
 

%Windir%crcspider.ico

2. Bổ sung các giá trị:

"ButtonText"="Search cracks at CrackSpider.NET"
"MenuText"="Search cracks at CrackSpider.NET"
"MenuStatusBar"="Search cracks at CrackSpider.NET"
"ClSid"="(1FBA04EE-3024-11d2-8F1F-0000F87ABD16)"
"Default Visible"="Yes"
"Exec"="[URL on the domain crackspider.net]"
"HotIcon"="%Windir%crcspider.ico"
"Icon"="%Windir%crcspider.ico"

vào khoá registry sau:

HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerExtensions(10954C80-4F0F-11d3-B17C-00C0DFE39736)

3. Bổ sung giá trị:

"{10954C80-4F0F-11d3-B17C-00C0DFE39736}" = "8193"

vào khoá registry:

HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerExtensionsCmdMapping

4. Bổ sung giá trị:

"SearchAssistant"="[URL on the domain crackspider.net]"

vào khoá registry sau để sửa đổi trang chủ của Internet Explorer:

HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerSearch

5. Bổ sung giá trị:

"Search Bar"="[URL on the domain crackspider.net]"

vào khóa registry sau:

HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain

6. Tạo ra một thư mục có tên "cracks" trong thư mục Favourites của IE. Thư mục này chứa các đường liên kết và đoạn chú thích sau:

* ! TheBUGS.ws - Security Related Portal
[URL on the domain thebugs.ws]

* !! CrackSpider.NET - Cracks search engine
[URL on the domain crackspider.net]

* allseek.info - The Underground portal
[URL on the domain allseek.info]

* anyCracks.com - Keygens, patches, crack
[URL on the domain anycracks.com]

* Astalavista - Cracks search engine
[URL on the domain astalavista.thebugs.ws]

* bestserials.com - Best serials
[URL on the domain bestserials.com]

* CrackPortal.com - Cracks, serial number
[URL on the domain crackportal.com]

* CrackSpider.DE - Cracks search engine
[URL on the domain crackspider.de]

* CrackSpider.US - Cracks search engine
[URL on the domain crackspider.us]

* CrackWay.com - Since 2001 cracks arhive
[URL on the domain crackway.com]

* iCracks.net - Keygens, patches, crackz.
[URL on the domain icracks.net]

* KeyGen.US - Keygens, patches, crackz...
[URL on the domain keygen.us]

* mscrack.com - Cracks, serial numbers...
[URL on the domain mscracks.com]

7. Bổ sung một nút liên kết trên thanh toolbar của IE. Thanh này liên kết tới tên miền: crackspider.net.

Khuyến cáo

Tắt và loại bỏ các dịch vụ không cần thiết trên hệ thống. Theo mặc định, rất nhiều hệ điều hành cài đặt những dịch vụ không cần thiết, chẳng hạn như máy chủ FTP, telnet, và máy chủ Web. Những dịch vụ này đã từ lâu bộc lộ nhiều điểm yếu để hacker lợi dụng tấn công vào máy tính.
 

Luôn cập nhật các bản patch mới nhất, đặc biệt đối với các máy tính chứa nhiều dịch vụ công cộng và có thể truy cập thông qua tường lửa, như dịch vụ: HTTP, FTP, mail, và DNS.
 

Thắt chặt chính sách mật khẩu. Sử dụng mật khẩu phức tạp sẽ gây khó khăn cho các chương trình bẻ mật khẩu trên máy tính. Việc làm này cũng sẻ giảm bớt thiệt hại khi máy tính bị xâm hại.
 

Cấu hình máy chủ e-mail để khoá hoặc loại bỏ các e-mail chứa file đình kèm thường bị virus lợi dụng để phát tán như: .vbs, .bat, .exe, .pif và .scr.
 

Cô lập máy tính bị lây nhiễm để ngăn chặn mức độ lây lan của virus trong tổ chức của bạn. Tiến hành thẩm định hệ thống và sao lưu dữ liệu.
 

Thông báo cho nhân viên không được mở các file đính kèm theo e-mail trừ khi chúng có nguồn gốc an toàn và có thể thẩm định được. Ngoài ra, không thực thi phần mềm tải từ mạng Internet trừ khi nó đã được phần mềm chống virus kiểm tra mức độ an toàn. Các trình duyệt giờ đây đã không còn an toàn và đôi khi chỉ cần một tác vụ truy cập web bình thường cũng khiến máy tính của bạn nhiễm virus.

Cách phòng chống

Sau đây là các bước hướng dẫn sơ bộ để quét sạch virus khởi hệ thống:

 

Vô hiệu hoá chức năng System Restore (Windows Me/XP).

Nâng cấp phần mềm diệt virus.

Chạy chế độ quét virus toàn hệ thống (Full Scan) và xoá tất cả các file được phát hiện là Trojan.Favadd.

Xoá các giá trị được virus bổ sung vào registry.

Tái xác lập lập trang chủ của Internet Explorer.

Tái xác lập lập lại trang tìm kiếm của IE.

Xoá bỏ các nút liên kết được bổ sung vào thanh toolbar của IE.