Технические детали
Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 22688 байт.
Деструктивная активность
После запуска троянец создает в каталоге хранения временных файлов пользователя BAT – файл:
%Temp%/~ARrnd.bat
где rnd – случайная цифровая последовательность
при помощи которого, производит удаление из системного каталога файла:
%System%/verclsid.exe
Затем копирует свой исполняемый файл под следующим именем:
%WinDir%/Fonts/MSar12D40003exe.ttf
Устанавливает файлу атрибуты "Скрытый" и "Системный ". Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем "12D4-B0CF". Также пытается найти и завершить процесс с именем "zhengtu.dat". Далее вредонос извлекает из своего тела в системный каталог библиотеку с именем:
%System%/ss12D40003dll.dll
Данный файл имеет размер 456192 байта. Устанавливает файлу атрибуты "Скрытый", "Системный ", "Архивный". Для автоматического запуска библиотеки при следующем старте Windows, троянец добавляет ссылку в ключ автозапуска системного реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Windows]
"AppInit_DLLs"="ss12D40003dll.dll"
В завершении, троянец создает в каталоге хранения временных файлов пользователя еще один BAT – файл:
%Temp%/~ARrnd.bat
после запуска которого происходит самоудаление оригинального файла троянца.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить параметр в ключе реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Windows]
"AppInit_DLLs"="ss12D40003dll.dll"
- Удалить файлы:
%WinDir%/Fonts/MSar12D40003exe.ttf
%System%/ss12D40003dll.dll
%Temp%/~ARrnd.bat
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
