Технические детали
Вредоносная программа, которая осуществляет сбор конфиденциальной информации пользователей IM клиента "QIP Infium". Является приложением Windows (PE-EXE файл). Имеет размер 1033728 байт. Написана на Delphi.
Деструктивная активность
После запуска вредонос отображает следующее окно:
Добавляет в системный реестр следующий ключ:
[HKLM/Software/started]
"started"="1"
Затем определяет месторасположение установленного IM клиента, прочитав значение параметра "InstallLocation" ключа реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Uninstall/QIP Infium]
Затем выполняет поиск ".qip" файла с профилем пользователя, который хранится в каталоге "Profiles". Поиск осуществляется по следующим каталогам:
%Program Files%/QIP Infium/Profiles/
%Documents and Settings%/%Current User%/Application Data/QIP/Profiles/
%Users%/%Current User%/AppData/Roaming/QIP/Profiles/
Получает конфиденциальную информацию пользователя, а именно его логин и пароль от учетной записи, которая зарегистрирована на сервере:
Qip.ru
После чего отправляет следующий HTTP запрос:
GET /people/about_me.php?uin=2883233 HTTP/1.1
Content-Type: text/html
Host: www.icq.com
Accept: text/html, */*
User-Agent: Mozilla/3.0 (compatible; Indy Library)`
По ссылке размещается вэб страница с информацией о пользователе ICQ с уникальным идетификатором "2883233". С этой страницы вредонос получает ссылку, которая находится в разделе "About":
http://www.***load.ru/download/?24281
По данной ссылке размещается файл размером 2024448 байт, который детектируется антивирусом Касперского как IM-Worm.Win32.QiMiral.k.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл вредоносной программы (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить ключ реестра:
- [[HKLM/Software/started]
- Сменить пароли к учетным записям.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
