Другие модификации: .am, .ap, .bs, .gy, .n, .pd
Поведение: Trojan-Downloader, троянский загрузчик.
Платформа: JS
Технические детали
Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Программа является файлом сценария языка Java Script. Имеет размер 2688 байт.
Деструктивная активность
После запуска троянец производит внедрение своего кода в память процесса, имеющего следующий уникальный идентификатор в системном реестре:
{BD96C556-65A3-11D0-983A-00C04FC29E36}
Используя уязвимость в ActiveX объекте "Microsoft.XMLHTTP", троянец загружает файл со следующего URL:
http://down*****.cn/down/ko.exe
Используя ActiveX компонент "ADODB.Stream", троянец сохраняет скачанный файл во временный каталог текущего пользователя Windows под именами "SVCH0ST.pif" и "SVCH0ST.vbs":
%Temp%/SVCH0ST.pif
%Temp%/SVCH0ST.vbs
При сохранении файлу "SVCH0ST.pif" устанавливается атрибут "Скрытый", также в этот файл дописывается несколько строк следующего текста:
`c_u_t_e_q_q_i_l_o_v_e_y_o_u
После успешного сохранения файлы запускаются на выполнение.
На момент создания описания указанная ссылка не работала.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:
- При помощи ( "Диспетчера задач") завершить процессы:
SVCH0ST.pif
SVCH0ST.vbs
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
%Temp%/SVCH0ST.pif
%Temp%/SVCH0ST.vbs
- Очистить каталог %Temporary Internet Files%.
- Отключить уязвимый ActiveX объект (Как отключить запуск элемента управления ActiveX в обозревателе Internet Explorer).
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: viruslist.com.
| 
