Поведение

Worm, сетевой червь.

Технические детали

Червь, распространяющийся через съемные носители. Является приложением Windows (PE-EXE файл). Имеет размер 66560 байт. Упакован при помощи UPX, распакованный размер – около 1100 КБ.

Инсталляция

При запуске червь копирует свой исполняемый файл в системный каталог Windows:

%System%/usbmons.exe

Также червь извлекает из своего тела библиотеку размером 22016 байт:

%System%/usbmons.dll

Для автоматического запуска при следующем старте системы червь добавляет ссылку на свой файл в ключ автозапуска системного реестра:

[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify/usbmon]
"DLLName" = "%System%/usbmons.dll"
"Shutdown" = "DoShutdown"
"Startup" = "DoStartup"
"Asynchronous" = "00000001"
"Impersonate" = "00000000"

Распространение

Червь копирует свой исполняемый файл в корень каждого съемного раздела с именем:

X:/RECYCLER/RECYCLER/autorun.exe

, где X – буква раздела.

Также вместе со своим исполняемым файлом червь помещает в корень раздела сопровождающий файл:

X:/autorun.inf

который запускает исполняемый файл червя, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Деструктивная активность

Червь извлекает из своего тела следующие файлы:

%System%/kb20060826.log
– имеет размер 119 296 байт
%System%/NETLIB32.DLL
– имеет размер 98 304 байта

И создает службу с именем "CAPAPI32", которая запускает файл "%System%/NETLIB32.DLL" при каждой следующей загрузке ОС.

Данный файл является руткитом, который подгружает себя в процесс iexplore.exe и скрывает свой исполняемый файл на жестком диске и в списках модулей процессов. Данный руткит делает скриншоты окна программы Internet Explorer и отправляет их на сайт злоумышленников:

61.178.141.***

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить вредоносный процесс.
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить ключ системного реестра:

[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify/usbmon]

4. Удалить службу с именем "CAPAPI32".
5. Перезагрузить компьютер.
6. Удалить файлы:

%System%/usbmons.exe
%System%/usbmons.dll
%System%/NETLIB32.DLL
%System%/kb20060826.log

7. Удалить файлы со всех съемных дисков:

X:/RECYCLER/RECYCLER/autorun.exe
X:/autorun.inf

где X – буква диска.

8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: viruslist.com.

перейти в архив