Технические детали
Программа-установщик панели MyWebSearch в Internet Explorer. Программа является динамической библиотекой Windows (PE DLL-файл). Имеет размер 102487 байт. Написана на C++.
Деструктивная активность
Панель MyWebSearch устанавливается вместе с другими инструментами (заставки, курсоры, блокировщик всплывающих окон, смайлы, открытки):
При использовании поисковой панели перед выводом на экран результата поиска, отправляет запрос на следующий сервер:
search.mywebsearch.com
помимо текста, введенного в поисковую панель, запрос включает в себя сведения об IP-адресе компьютера пользователя, текущее время, тип браузера, языковые настройки, уникальный идентификатор и код, для определения источников для поиска.
Программа регистрирует себя как Internet Explorer Browser Helper Object (BHO), для этого записывает в системный реестр следующую информацию:
[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Browser HelperObjects/{00A6FAF1-072E-44cf-8957-5838F569A31D}]
"(default)" = "MyWebSearch Search Assistant BHO"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Browser Helper Objects/{07B18EA1-A523-4961-B6BB-170DE4475CCA}]
"(default)" = "mwsBar BHO"
Также добавляет в ключи автозагрузки следующую информацию:
[HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"My Web Search Bar" = "rundll32 %Programfiles%/MYWEBS~1/bar/1.bin/MWSBAR.DLL,S"
"MyWebSearch Email Plugin" = "%Programfiles%/MYWEBS~1/bar/1.bin/mwsoemon.exe"
[HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"MyWebSearch Email Plugin" = "C:/PROGRA~1/MYWEBS~1/bar/1.bin/mwsoemon.exe"
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Для удаления поисковой панели необходимо воспользоваться стандартными средствами Windows "Установка и удаление программ".
- Очистить каталог Temporary Internet Files.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
