Технические детали

Троянская программа, шифрующая пользовательские файлы с целью получить выкуп за их восстановление. Является приложением Windows (PE-EXE файл). Имеет размер 319488 байт. Упакована UPX. Распакованный размер – около 734 КБ. Написана на Delphi.

Инсталляция

После запуска троянец проверяет наличие подключения компьютера к сети Интернет. Для этого выполняется обращение к следующим ресурсам:

fo***gle.hut.ru
www.hut.ru

Если подключение отсутствует, то троянец создает в своем рабочем каталоге файл командного интерпретатора, запускает его и завершает свою работу — данный файл удаляет оригинальный файл троянца и самоуничтожается.

В противном случае, троянец выполняет следующие действия:

1. извлекает из своего тела файлы, которые сохраняются в системе как

%System%/stdbvl30.dll

(625152 байта; детектируется Антивирусом Касперского как "Trojan-Ransom.Win32.Cryzip.c")

%System%/rml32ht.dll

(16384 байта; детектируется Антивирусом Касперского как "Trojan-Ransom.Win32.Cryzip.c")

2. Создает ключи системного реестра:

[HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogonNotifysmlgntfy]
"DLLName" = "stdbvl30.dll"
"Logon" = "WLEventLogon"
"Impersonate" = "0"
"Asynchronous" = "1"

Таким образом, извлеченная троянцем библиотека будет подгружаться в адресное пространство процесса "winlogon.exe" при каждом следующем старте системы.

3. Создает в своем рабочем каталоге файл командного интерпретатора, запускает его и завершает свою работу — данный файл удаляет оригинальный файл троянца и самоуничтожается.

Деструктивная активность

После следующей перезагрузки системы библиотека "stdbvl30.dll", внедренная в адресное пространство процесса "winlogon.exe", выполняет следующие действия:

http://fo***gle.hut.ru/s2.php
http://fo***gle.hut.ru/f2.php

На момент создания описания ссылки не работали.

.pst
.rar
.zip
.pak
.gz
.gzip
.zipx
.arj
.pgp
.tar
.arh
.7z
.cab
.lzh
.djv
.lzo
.pdf
.djvu
.txt
.chm
.xl
.xlk
.xls
.xlsx
.xlsm
.rtf
.doc
.docx
.ppt
.dbf
.xlw
.xlc
.ppt
.pps
.wri
.xsn
.xsf
.vsd
.pab
.abw
.docm
.text
.mdb
.mde
.odc
.udl
.dsn
.adp
.mda
.ade
.asp
.db
.db1
.db2
.dbf
.dbt
.dbx
.htm
.html
.mht
.mhtml
.psw
.pwt
.pwd
.jpg
.jpeg
.jpe
.dwg
.stp
.kwm
.key
.cgi
.pass
.dt
.1cd
.cdx
.db3
.ddt
.cer
.usr
.md
.dd
.cdx
.db3
.ddt
.py
.rb
.rbw
.pl
.pm
.php3
.phtml
.cs
.asm
.css
.vbs
.sql
.cgi
.js
.php
.vbp
.frm
.bas
.cls
.c
.h
.hpp
.cpp
.dpr
.dpk
.dpkw
.pas
.dfm
.xfm
.bpg
.cdr
.cdt
.cdx

Файлы, находящиеся в каталогах с именами:

System
System32

не архивируются.

Имена заархивированных файлов имеют следующий вид:

оригинальное имя файла_crypt_.rar

Зашифрованные пользовательские файлы невозможно использовать в дальнейшем, что дает возможность злоумышленникам вымогать у пострадавших денежные средства за их расшифровку.

В каталоги с заархивированными файлами троянец помещает файлы с именем "AUTO_RAR_REPORT.TXT" следующего содержания:

Список зашифрованных файлов троянец записывает в файл:

C:/List_of_files.log

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Загрузить программу для автоматической распаковки архивов по ссылкам, приведенным в файле "AUTO_RAR_REPORT.TXT". Интерфейс программы имеет следующий вид:

2. Для получения пароля воспользоваться сервисом деактивации вымогателей-блокеров:

http://support.kaspersky.ru/viruses/deblocker

3. Удалить ветвь системного реестра:

[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify/smlgntfy]

4. Перезагрузить компьютер.
5. Удалить файлы:

%System%/stdbvl30.dll
%System%/rml32ht.dll
C:/List_of_files.log

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив