Технические детали
Троянская программа, которая блокирует работу компьютера с целью получить выкуп за восстановление работы. Программа является приложением Windows (PE EXE-файл). Имеет размер 104127 байт. Упакована неизвестным упаковщиком. Распакованный размер – около 670 КБ. Написана на С++.
Инсталляция
Далее для автоматического запуска при следующем старте системы троянец создает ссылку на свой исполняемый файл в ключе автозапуска системного реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"Windows Update Service"="Путь к оригинальному файлу троянца"
Деструктивная активность
После запуска троянец показывает лицензионное соглашение, в котором пользователя предупреждают, что программа платная и через некоторое время компьютер будет заблокирован, до тех пор, пока не будет произведена оплата:
Если пользователь нажмет на кнопку "Не принимаю", то троянец завершает свою работу.
В случае согласия троянец соединяется с сервером злоумышленника для оповещения о заражении:
94.****.148
Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем:
Global/xusrwgkgcycm
Извлекает из своего тела динамическую библиотеку DLL во временный каталог текущего пользователя Windows под именем "usrcycm.dll":
%Temp%/usrcycm.dll
Данный файл имеет размер 57334 байта и детектируется Антивирусом Касперского, как Trojan-Ransom.Win32.Agent.jt.
Далее библиотека подгружается во все запущенные процессы в системе. При помощи данной библиотеки троянец регенерирует ключ автозапуска, блокирует доступ к диспетчеру задач Windows, следит за наличием своего процесса в системе.
Троянская программа выводит на передний план свое окно, которое перекрывает все запущенные пользователем окна:
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Воспользоваться сервисом деактивации вымогателей-блокеров:
http://support.kaspersky.ru/viruses/deblocker
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
