Технические детали
Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 55808 байт. Упакована при помощи UPX. Распакованный размер – около 72 КБ. Написана на C++.
Инсталляция
После запуска троянец расшифровывает и извлекает из своего тела библиотеку во временный каталог текущего пользователя Windows:
%Temp%/rnd.tmp
Где rnd - случайный набор цифр и букв латинского алфавита, например, "4" или "17E".
Данный файл имеет размер 19968 байт и детектируется Антивирусом Касперского как Trojan.Win32.Agent.dsyp.
После этого троянец вызывает из извлеченной библиотеки функцию "uvibls", а затем завершает свое выполнение.
Вредоносная библиотека, извлеченная троянцем, копирует свой файл в системный каталог Windows под именем:
%System%/ngts.vao
Для автоматического запуска своей копии при каждом следующем старте системы добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Shell"="Explorer.exe rundll32.exe ngts.vao uvibls"
Деструктивная активность
Для контроля уникальности своего процесса в системе создает уникальный идентификатор с именем:
3522750987d1f8ea0b
При наличии на компьютере пользователя пакета приложений "Microsoft Office", устанавливает низкий уровень безопасности, добавляя следующую информацию в ключ системного реестра:
[HKCU/Software/Microsoft/Office/11.0/Word/Security]
"Level" = "1"
"AccessVBOM" = "1"
После чего создает макрос, используемый для запуска вредоносного файла.
Далее библиотека создает процесс с именем "svchost.exe", в который внедряет вредоносный код, отправляющий запрос на следующий ресурс:
http://de***kov.ru/hules/bb.php
С данного ресурса получает файл конфигурации для своей дальнейшей работы.
На момент создания описания ресурс был недоступен.
Ссылки для последующей загрузки вредоносных файлов получает из файла конфигурации и сохраняет в ключе системного реестра:
[HKCR/idid]
После этого вредоносная библиотека удаляет оригинальное тело троянца.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить файлы:
%Temp%/rnd.tmp
%System%/ngts.vao
- Очистить каталог Temporary Internet Files.
- Удалить ключ системного реестра:
[HKCR/idid]
- Восстановить значения параметров "Level" и "AccessVBOM" ключа системного реестра:
[HKCU/Software/Microsoft/Office/11.0/Word/Security]
"Level" = "1"
"AccessVBOM" = "1"
Восстановить значение параметра ключа системного реестра на следующее:
[HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Shell" = "Explorer.exe"
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
