Технические детали

Червь с троянским функционалом, создающий свои копии на съемных дисках. Является приложением Windows (PE-EXE файл). Имеет размер 109632 байт. Упакован неизвестным упаковщиком, распакованный размер 200 к.б.

Копирует свой исполняемый файл как:

%Temp%/xvassdf.exe

Для автоматического запуска при каждом следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Run] 54dfsger=%System%/xvassdf.exe

Извлекает из своего исполняемого файла следующий файл:

%System%/4tddfwq0.dll

данный файл имеет размер 194092 байта и детектируется Антивирусом Касперского как Trojan-GameThief.Win32.Magania.cpbl.

Распространение

Копирует свой исполняемый файл в корень каждого раздела:

X:/r1bd.exe

где, X – буква раздела.

Так же вместе со своим исполняемым файлом червь помещает в корень диска сопровождающий файл:

X:/autorun.inf

который запускает исполняемый файл червя, каждый раз, когда пользователь открывает зараженный раздел при помощи программы ”Проводник”.

Деструктивная активность

Подгружает извлеченную библиотеку во все запущенные в системе процессы. Перехватывает ввод от клавиатуры и мыши в следующих процессах:

iexplore.exe
Ragexe.exe
YahooWidgetEngine.exe
Ypagerj.exe
pol.exe
coc.exe

Анализирует траффик идущий к следующим адресам:

211.13.235.228
211.13.235.227
211.13.235.226
211.13.235.229

Таким способом червь пытается похитить информацию о учетных записях игроков популярных онлайн игр и интернет пейджеров.

Собранные данные отправляются на сайты злоумышленникам в параметрах HTTP запросов к следующим адресам:

http://ga****i.com/r1b/rod/lin.asp
http://ga****i.com/r1b/ttr/lin.asp
http://ga****i.com/r1b/ryh/lin.asp
http://ga****i.com/r1b/fsy/lin.asp

Червь изменяет значения следующих параметров ключей реестра:

[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced/Folder/Hidden/SHOWALL] "CheckedValue" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced] "Hidden" = "2"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced] "ShowSuperHidden" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Pocilies/Explorer] "NoDriveTypeAutoRun" = "0x91"

Пытается завершить следующие процессы:

LIVESRV.EXE
VCRMON.EXE
Update.exe
CCSVCHST.EXE
ALUSCHEDULERSVC.EXE
luall.exe
ASHDISP.EXE
avast.setup
setup.ovr
EKRN.EXE
updater.dll
eguiEpfw.dll
eguiEmon.dll
ekrnEpfw.dll
ekrnEmon.dll
AVP.EXE
prupdate.ppl
AYAGENT.AYE
AYUpdate.aye
UFSEAGNT.EXE
SfFnUp.exe
UfUpdUi.exe
AVGNT.EXE
preupd.exe
update.exe
VSTSKMGR.EXE
vsupdate.dll
mcupdate.exe
AVGRSX.EXE
avgupd.exe
avgupd.exe

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить файл:

%Temp%/xvassdf.exe

2. Перезагрузить компьютер
3. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
4. Удалить параметры в ключах системного реестра:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
54dfsger=%System%/xvassdf.exe

[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced/Folder/Hidden/SHOWALL] "CheckedValue" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced] "Hidden" = "2"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Explorer/Advanced] "ShowSuperHidden" = "0"

[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/
Pocilies/Explorer] "NoDriveTypeAutoRun" = "0x91"

5. Удалить файлы:

%System%/4tddfwq0.dll

6. Удалить файлы со всех дисков:

X:/r1bd.exe
X:/autorun.inf

где, X – буква диска.
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив