25. RegTool

Với cách thức hoạt động và lây lan tương tự ErrorFix, RegTool được chủ yếu phát tán qua trang web www.regtool.com, nhưng Kaspersky Lab không liệt chương trình giả mạo này thành FraudTool.Win32.RegTool.b.

Khi RegTool được cài đặt thành công, khi người dùng kích hoạt tính năng rà soát trong hệ thống registry, chương trình sẽ cảnh báo hệ thống với lỗi registry nghiêm trọng, đồng thời yêu cầu người dùng mua key kích hoạt bản quyền.

RegTool sẽ sao chép những file sau lên phân vùng hệ thống sau khi cài đặt:

regtool.exe
regtool5.dll
RegTool.lnk

và những khóa registry sau:

HKEY_CURRENT_USER\Software\RegTool
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "RegTool"

Giao diện chính của chương trình:

26. RST Antivirus 2010

RST Antivirus 2010 được Kaspersky Lab phát hiện và liệt kê vào danh sách biến thể của Trojan.Win32.FakeAV.pz, và phát tán rộng rãi qua trang web http://rtsantivirus2010.com/. Khi xâm nhập thành công vào máy tính của nạn nhân, RST Antivirus 2010 sẽ liên tục tạo ra các thông báo lỗi về viruses, Trojans và worms tồn tại trên hệ thống, và RST Antivirus 2010 sẽ khắc phục triệt để những lỗi này khi người dùng đồng ý mua key kích hoạt bản quyền.

Sau khi cài đặt vào máy tính, RST Antivirus 2010 sẽ sao chép những file sau vào ổ cứng:

%ProgramFiles%\adc32.dll
%ProgramFiles%\alggui.exe
%ProgramFiles%\nuar.old
%ProgramFiles%\skynet.dat
%ProgramFiles%\svchost.exe
%ProgramFiles%\wp3.dat
%ProgramFiles%\wp4.dat
%ProgramFiles%\rst antivirus 2010\rst antivirus 2010.exe
%ProgramFiles%\rst antivirus 2010\comdlg32.dll
%ProgramFiles%\rst antivirus 2010\dwmapi.dll
%ProgramFiles%\rst antivirus 2010\libclamav.dll
%ProgramFiles%\rst antivirus 2010\oledlg.dll
%ProgramFiles%\rst antivirus 2010\pthreadvc2.dll
%ProgramFiles%\rst antivirus 2010\uninstall.bat
%ProgramFiles%\rst antivirus 2010\wininet.dll
%Programs%\RTS Antivirus 2010.lnk
%Desktop%\RTS Antivirus 2010.lnk

và những khóa registry sau:

HKCU\Software\RTS Antivirus 2010
HKCR\CLSID\{77DC0Baa-3235-4ba9-8BE8-aa9EB678FA02}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{77DC0Baa-3235-4ba9-8BE8-aa9EB678FA02}
HKLM\SYSTEM\CurrentControlSet\Services\AdbUpd

Giao diện chính của chương trình RST Antivirus 2010:

(Còn nữa)