Технические детали

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE-EXE файл). Имеет размер 591 938 байт. Не упакована. Написана на C++. Ориентирована преимущественно на windows 9x/ME.

Деструктивная активность

После запуска троянец выполняет следующие действия:

• Выводит на экран сообщение «zarachenie virusom!»
• Копирует своё тело в файлы под общим именем «trojan-allods.exe» на все возможные логические диски, после чего делает эти файлы скрытыми.
• Добавляет в файл autoexec.bat строки вида <буква_логического_диска>: trojan-allods.exe для того, чтобы эти файлы были запущены при запуске системы.
• Меняет ассоциацию .exe-файлов так, чтобы они запускались той же программой, что и .mp3-файлы.
• Изменяет метки всех логических дисков на «tvoemy windows puzda!!!»
• Без запроса на подтверждение и возможности восстановить из корзины удаляет каталоги c:/Program Files и c:/windows
• Далее при помощи rundll32 пытается спровоцировать сбой системы, установить курсор мыши в левый верхний угол, поменять местами левую и правую кнопки мыши, отключить клавиатуру и мышь, сместить все окна вниз.

После этого троянец завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то, к сожалению, возможно лишь частичное лечение, поскольку троянец удаляет файлы. Вот некоторые возможные исправления последствий:

1. Перезагрузите компьютер, при начальной загрузки нажмите клавишу , чтобы войти в Безопасный режим.
2. Откройте файл c:/autoexec.bat и удалите все строки вида

буква_логического_диска:/trojan-allods.exe

3. Зайдите в Панель управления (Control Panel), запустите Опции папок (Folder Options), переключитесь на вкладку Просмотр (View), найдите и выберите пункт «Показывать скрытые файлы и папки» (“Show hidden files and folders”).
После чего зайдите в корень всех логических дисков и удалите файл trojan-allods.exe”.
4. Щелкните правой кнопкой мыши по всем логическим дискам, выберите «Свойства» (“Properties”), замените установленное троянцем имя диска на более благозвучное и щелкните «Ок».
5. Откройте меню Пуск (Start), далее Программы (Programs), затем Стандартные (Accessories) и запустите Командная строка (Command Prompt). Исполните следующую команду:

Assoc .exe=

6. Дважды щелкните левой кнопкой мыши по часам в правом углу экрана и установите корректную дату.
7. После всех описанных действией произведите полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив