Технические детали
Червь, распространяющийся по локальным сетям через уязвимость в обработке RPC запросов. Программа является динамической библиотекой Windows (PE DLL-файл). Имеет размер 311296 байт.
Инсталляция
Копирует свой исполняемый файл как:
%System%/wbem/sysmgr.dll
Так же извлекает из своего тела следующие файлы:
%System%/wbem/winbase.dll – 49152 байт.
%System%/wbem/winbaseInst.exe – 57344 байт.
%System%/wbem/basesvc.dll – 311296 байт.
%System%/wbem/syicon.dll – 200704 байт.
Для автоматического запуска при следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM/SYSTEM/CurrentControlSet/Services/sysmgr]
При следующей загрузке Windows исполняемый файл червя будет запущен как служба, а его оригинальный исполняемый файл удален.
Распространение
Червь получает список IP адресов компьютеров, находящихся в сетевом окружении зараженной машины и производит на них атаку использующую уязвимость переполнение буфера MS08-067 в сервисе «Сервер»(http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx). Для этого червь отсылает удаленной машине специальным образом сформированный RPC-запрос, который вызывает переполнение буфера в функции NetPathCanonicalize, в результате чего запускается специальный код-загрузчик, который скачивает из интернет последнюю версию исполняемого файла червя по следующей ссылке:
http://59.106.145.***/n2.exe
И запускает его.
Деструктивная активность
Червь похищает пароли к учетным записям следующих программ:
Outlook Express
MSN Messenger
Также червь извлекает защищенную информацию из Protected Storage.
Так же червь собирает информацию о том, установлено ли на зараженном компьютере следующее антивирусное ПО:
BitDefender Antivirus
Jiangmin Antivirus
Kingsoft Internet Security
Kaspersky Antivirus
Microsoft`s OneCare Protection
Rising Antivirus
Trend Micro
Собранные данные отсылаются на сайт злоумышленников в HTTP запросе:
http://59.106.145.***/pr/update.php
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи <Диспетчера задач> завершить вредоносный процесс.
- Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить параметр в ключе системного реестра:
[HKLM/SYSTEM/CurrentControlSet/Services/sysmgr]
- Перезагрузить компьютер
- Удалить файлы:
%System%/wbem/sysmgr.dll
%System%/wbem/winbase.dll
%System%/wbem/winbaseInst.exe
%System%/wbem/basesvc.dll
%System%/wbem/syicon.dll
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: viruslist.com.
| 
