Технические детали
Червь, создающий свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является скомпилированным скриптом AutoIt. Имеет размер 808842 байта.
Инсталляция
После запуска червь выполняет следующие действия:
- копирует свое тело в файл:
%System%/csrcs.exe
Файл создается с атрибутами "скрытый" (hidden) и "системный" (system).
Для автоматического запуска созданной копии при каждом следующем старте системы червь создает следующие ключи системного реестра:
[HKLM/Software/Microsoft/Windows/CurrentVersion/RunServices]
"csrcs" = "%System%/csrcs.exe"
[HKLM/Software/Microsoft/Windows/CurrentVersion/policies/explorer/run]
"csrcs" = "%System%/csrcs.exe"
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Shell" = "Explorer.exe csrcs.exe"
При этом исполняемый файл червя будет запускаться процессом "WINLOGON.EXE" даже при загрузке Windows в "Безопасном режиме".
- Для отключения отображения скрытых файлов и каталогов изменяются значения следующих ключей системного реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced]
"Hidden" = "2"
"SuperHidden" = "0"
"ShowSuperHidden" = "0"
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/Showall]
"CheckedValue" = "1"
После этого червь запускает созданную копию и завершает свою работу.
Распространение
Червь копирует свое тело на все доступные для записи сетевые, логические и съемные диски под случайным именем (например: "bxxtic.exe").
Вместе со своим исполняемым файлом червь помещает файл:
имя зараженного раздела:/autorun.inf
что позволяет ему запускаться каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".
Созданным файлам присваиваются атрибуты "скрытый" (hidden) и "системный" (system).
Деструктивная активность
После запуска червь выполняет следующие действия:
- для идентификации своего присутствия в системе создает ключи системного реестра:
[HKLM/Software/Microsoft/DRM/amty]
"ilop" = "1"
"rem1" = "1"
"exp1" = "408406541BC5BBE4DC197A2A0C46B9ABF2F90D96B151D7C7BCBD177641EE95F1"
"epb1" = "noneed"
"cb2" = "noneed"
"ic1" = "noneed"
"regexp" = "-0.82930983286315"
- Удаляет ключ системного реестра:
[HKLM/Software/Microsoft/Windows/CurrentVersion/policies/explorer/run]
"Logitech SetPoint"
- Создает следующие файлы:
%Temp%/autdigit.tmp
(9976 байт)
%Temp%/rnd.tmp
(57982 байта)
где digit – случайное шестнадцатеричное число, а rnd – случайная последовательность латинских букв (например: "aslbvjd").
Файлы предназначены для временного использования, и удаляются в процессе работы червя.
%System%/autorun.in
(1061 байт)
%System%/autorun.i
(751 байт)
Файлы содержат следующие строки:
[Autorun]
Open=csrcs.exe
Shellexecute=csrcs.exe
Shell/Open/command=csrcs.exe
Shell=Open
- Определяет IP-адрес зараженного компьютера при помощи ресурса:
www.whatismyip.com
- Выполняет попытку соединения со следующими хостами:
geo****guo.com
www.d0***23.com
Созданное соединение используется для загрузки файлов. Загруженные файлы сохраняются под случайными именами в каталоге:
%Temporary Internet Files%
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи ( "Диспетчера задач") завершить процесс "csrcs.exe".
- Удалить ключи системного реестра:
[HKLM/Software/Microsoft/Windows/CurrentVersion/RunServices]
"csrcs" = "%System%/csrcs.exe"
[HKLMSoftware/Microsoft/Windows/CurrentVersion/policies/explorer/run]
"csrcs" = "%System%/csrcs.exe"
[HKLM/Software/Microsoft/DRM/amty]
"ilop" = "1"
"rem1" = "1"
"exp1" = "408406541BC5BBE4DC197A2A0C46B9ABF2F90D96B151D7C7BCBD177641EE95F1"
"epb1" = "noneed"
"cb2" = "noneed"
"ic1" = "noneed"
"regexp" = "-0.82930983286315"
- Удалить подстроку "csrcs.exe" в значении ключа системного реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Shell" = "Explorer.exe csrcs.exe"
- Восстановить исходные значения ключей системного реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced]
"Hidden" = "2"
"SuperHidden" = "0"
"ShowSuperHidden" = "0"
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/Showall]
"CheckedValue" = "1"
- Удалить файлы:
%System%/csrcs.exe
имя зараженного раздела:/autorun.inf
%System%/autorun.in
%System%/autorun.i
- Удалить копию червя со всех зараженных сетевых, логических и съемных дисков.
- Очистить каталог Temporary Internet Files.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
