Другие модификации: .a, .ap, .bn, .bo, .ci, .cr, .cu, .cv, .dr, .du, .ee, .ef, .eh, .ei, .f, .fc, .gr, .gz, .hb, .hp, .hq, .hx, .ii, .ij, .ik, .im, .io, .ip, .iq, .ir, .jt, .ju

Поведение

Trojan-Downloader, троянский загрузчик.

Технические детали

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является HTML-страницей, содержащей сценарии языка Visual Basic Script и Java Script. Имеет размер 6883 байта.

Деструктивная активность

После запуска троянец производит внедрение своего кода в память процесса, имеющего следующий уникальный идентификатор в системном реестре:

{BD96C556-65A3-11D0-983A-00C04FC29E36}

Используя уязвимость в ActiveX компоненте "XMLHTTP", троянец загружает файл со следующего URL:

http://www.medclub.com.tw/simple/*****/image/lino.exe

На момент создания описания данная ссылка не работала.

Используя ActiveX компонент "ADODB.Stream", троянец сохраняет скачанный файл во временный каталог текущего пользователя Window под именем "svchovt.com":

%Temp%/svchovt.com

Далее файл сохраняется в корневой каталог диска С: под именем "boot.com":

C:/boot.com

После чего троянец выполняет код со следующего URL:

http://www.medclub.com.tw/simple/*****/image/1.htm

Далее троянец, используя уязвимость, существующую из-за ошибки в проверке входных данных в "EDraw.OfficeViewer" (officeviewer.ocx) ActiveX компоненте при обработке аргументов в методе "HttpDownloadFile()", производит загрузку файла с выше указанного URL и сохраняет его в корневой каталог диска С:

C:/test.exe

После чего троянец, используя уязвимость в ActiveX компоненте "WebViewFolderIcon" в методе setSlice(), производит переполнение буфера (MS06-57) и загружает файл со следующего URL:

http://www.livehome.com.tw/******/a.exe

На момент создания описания по данной ссылке скачивался файл размером 20480 байт и детектирующийся Антивирусом Касперского как Virus.Win32.AutoRun.ty.

Данный файл сохраняется в системный каталог Windows под именем "a.exe":

%System%/a.exe

После чего скачанный файл запускается на выполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

%Temp%/svchovt.com
C:/boot.com
C:/test.exe
%System%/a.exe

3. Очистить каталог %Temporary Internet Files%.
4. Отключить уязвимый ActiveX объект (как отключить запуск элемента управления ActiveX в обозревателе Internet Explorer).
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: viruslist.com.

перейти в архив