Технические детали
Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 49 152 байта. Написана на Visual Basic.
Инсталляция
После запуска троянец копирует свое тело в корневой каталог диска "С:" под именем "fun.xls.exe":
c:/fun.xls.exe
Устанавливает для файла атрибут "скрытый".
Для автоматического запуска при следующем старте системы троянец создает в корневом каталоге диска "С:" файл "autorun.inf":
c:/autorun.inf
следующего содержания:
[AutoRun]
open=fun.xls.exe
shellexecute=fun.xls.exe
shell/Auto/command=fun.xls.exe
shell=Auto
[VVflagRun]
aabb=kdkfjdkfk1
Эти действия повторяются для всех дисков в системе.
Деструктивная активность
После автоматического запуска файла "fun.xls.exe" троянец копирует свое тело в системный каталог Windows под именами "msfun80.exe", "algsrvs.exe" и "msime82.exe":
%System%/msfun80.exe
%System%/msime82.exe
%System%/algsrvs.exe
Далее в ключи автозапуска системного реестра добавляются строки:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"MsServer"="msfun80.exe"
и
[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
"IMJPMIG8.2"="msime82.exe"
При запуске любого из этих двух файлов управление передается в копию под именем "algsrvs.exe", которая бесконечно проверяет существование указанных ключей автозапуска и восстанавливает их в случае удаления.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи ( "Диспетчера задач") завершить троянский процесс "algsrvs.exe".
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы, созданные троянцем:
%all_drives%/autorun.inf
c:/fun.xls.exe
%System%/msfun80.exe
%System%/msime82.exe
%System%/algsrvs.exe
- При помощи редактора реестра (как работать с реестром?) удалить ключи системного реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"MsServer"="msfun80.exe"
[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
"IMJPMIG8.2"="msime82.exe"
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
