Технические детали

Троянская программа, относящаяся к семейству троянцев ворующих пароли от пользовательских учетных записей on-line игр. Программа является приложением Windows (PE EXE-файл). Имеет размер 115954 байта. Упакована при помощи UPX. Распакованный размер – около 512 КБ. Написана на C++.

Инсталляция

После активации троянец копирует свой исполняемый файл во временный каталог текущего пользователя Windows под именем "herss.exe":

%Temp%/herss.exe

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"herss.exe" = "%Temp%/herss.exe"

Далее троянец извлекает из своего тела динамическую библиотечку DLL во временный каталог текущего пользователя Windows под именем "cvasds0.dlll":

%Temp%/cvasds0.dll

Данный файл имеет размер 77352 байта и детектируется Антивирусом Касперского как Trojan-GameThief.Win32.Magania.ckqi.

Данная библиотека подгружается в адресное пространство процесса "explorer".

После чего всем созданным файлам присваивается атрибут "скрытый".

Троянец извлекает из своего тела драйвер, и записывает его вместо стандартного содержимого системного драйвера "cdaudio.sys":

%System%/driver/cdaudio.sys

При этом размер, дата создания и атрибуты драйвера остаются такие же как и у оригинального драйвера "cdaudio.sys".

Для запуска драйвера троянец создает службу с именем "AVPsys":

[HKLM/SYSTEM/CurrentControlSet/Services/AVPsys]
"DisplayName" = "AVPsys"
"ImagePath" = "//??//%System/drivers/cdaudio.sys.sys"
"ErrorControl" = "1"
"Start" = "3"
"Type" = "1"

После инсталляции троянец удаляет свое оригинальное тело.

Распространение

Троянец копирует свой исполняемый файл на все логические и съемные диски:

X:/rnd.exe

где, rnd - случайная последовательность букв латинского алфавита, например "hjvjte", X – буква диска.

Так же вместе со своим исполняемым файлом троянец помещает в корень диска сопровождающий файл:

X:/autorun.inf

который запускает исполняемый файл троянца, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Всем созданным файлам присваивается атрибут "скрытый".

Деструктивная активность

Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем

DALXBHDFGERTONGOJK_POP

Во время работы троянец подгружает извлеченную библиотеку во все запущенные процессы в системе и с ее помощью перехватывает нажатия клавиш клавиатуры и мыши, если запущены процессы:

maplestory.exe
ageofconan.exe
lotroclient.exe
cabalmain.exe
maplestory.exe
gw.exe
wow.exe

Троянец анализирует траффик идущий к следующим адресам:

203.144.223.173
203.144.223.174
203.144.223.175
203.144.223.176
203.144.223.169
203.144.223.170
203.144.223.171
203.144.223.172
203.144.223.165
203.144.223.166
203.144.223.167
203.144.223.168
203.144.223.161
203.144.223.162
203.144.223.163
203.144.223.164
203.144.223.157
203.144.223.158
203.144.223.159
203.144.223.160
203.144.223.153
203.144.223.154
203.144.223.155
203.144.223.156
203.144.223.149
203.144.223.150
203.144.223.151
203.144.223.152
203.144.223.145
203.144.223.146
203.144.223.147
203.144.223.148
203.144.223.141
203.144.223.142
203.144.223.143
203.144.223.144
38.99.82.209
38.99.82.213
38.99.82.217
38.99.82.221
38.99.82.242
38.99.82.209
38.99.82.213
38.99.82.217
38.99.82.221
38.99.82.227
38.99.82.232
38.99.82.237
38.99.82.242

Таким способом троянец пытается похитить информацию о учетных записях игроков для игр:

Maple Story
World of Warcraft
The Lord of the Rings Online
Guild Wars
CABAL Online (SG MY)
Age of Conan
Fly For Fun

Также троянец анализирует файлы настроек вышеупомянутых игр и пытается извлечь из них информацию о учетных записях игрока на игровых серверах.

Собранные данные отправляются на сайт злоумышленнику в HTTP запросах:

http://v****ju.com/y2y3/mfg/lin.asp
http://v****ju.com/y2y3/mwo/lin.asp
http://v****ju.com/y2y3/fsy/lin.asp
http://v****ju.com/y2y3/mqs/lin.asp
http://v****ju.com/y2y3/msl/lin.asp
http://v****ju.com/y2y3/ohs/lin.asp
http://v****ju.com/y2y3/mmj/lin.asp
http://v****ju.com/y2y3/mkn/lin.asp
http://v****ju.com/y2y3/msy/lin.asp
http://v****ju.com/y2y3/myt/lin.asp
http://v****ju.com/y2y3/xfg/lin.asp
http://v****ju.com/y2y3/tjt/lin.asp
http://v****ju.com/y2y3/odo/lin.asp
http://v****ju.com/y2y3/tmx/lin.asp
http://v****ju.com/y2y3/xjt/lin.asp
http://v****ju.com/y2y3/ofg/lin.asp
http://v****ju.com/y2y3/mff/lin.asp
http://v****ju.com/y2y3/dyt/lin.asp
http://v****ju.com/y2y3/mjz/lin.asp
http://v****ju.com/y2y3/mjz/lin.asp

Троянец производит загрузку файла со следующего URL:

http://www.si****l.com/1mg/am1.rar

На момент создания описания ссылка не работала.

Загруженный файл сохраняется во временный каталог текущего пользователя Windows под оригинальным именем и запускается на выполнение.

Троянец отключает отображение скрытых файлов и папок, устанавливает по умолчанию автоматический запуск дисков, изменяя значения следующих параметров ключей системного реестра:

[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/
Advanced/Folder/Hidden/SHOWALL] "CheckedValue" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced]
"Hidden" = "2"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced]
"ShowSuperHidden" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Pocilies/Explorer]
"NoDriveTypeAutoRun" = "0x91"

Если на зараженной системе установлен Антивирус Касперского 7, то троянец отключает автоматическое обновление баз изменяя значения параметров системного реестра.

Троянец пытается завершить следующие процессы:

LIVESRV.EXE
VCRMON.EXE
Update.exe
CCSVCHST.EXE
ALUSCHEDULERSVC.EXE
luall.exe
ASHDISP.EXE
EKRN.EXE
AVP.EXE
UFSEAGNT.EXE
SfFnUp.exe
UfUpdUi.exe
AVGNT.EXE
preupd.exe
VSTSKMGR.EXE
mcupdate.exe
AVGRSX.EXE
avgupd.exe

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ( "Диспетчера задач") завершить троянский процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить файлы:

x:/rnd.exe
x:/autorun.inf
%Temp%/cvasds0.dll
%Temp%/herss.exe

4. Удалить ключ (системного реестра):

[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"herss.exe" = "%Temp%/herss.exe"

5. Очистить каталог %Temporary Internet Files%.
6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив