Технические детали
Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 19810 байт. Упакована при помощи MEW. Распакованный размер – около 131 КБ. Написана на С++.
Деструктивная активность
После запуска троянец завершает процесс с именем:
wow.exe
Далее троянец получает путь к каталогу установленной игры "World of Warcraft", прочитав значение параметра "InstallPath" из ключа системного реестра:
[HKLM/SOFTWARE/Blizzard Entertainment/World of Warcraft]
"InstallPath" = "каталог установленной игры"
В полученный каталог троянец извлекает из своего тела вредоносный файл с именем "msvcr80.dat" и устанавливает ему атрибуты "архивный" и "скрытый":
каталог установленной игры/msvcr80.dat
Данный файл имеет размер 24040 байт и детектируется антивирусом Касперского как Trojan-PSW.Win32.Kykymber.eae.
После этого троянец извлекает из своего тела файл в системный каталог Windows с именем "stdrnd.ime" (где rnd - случайная цифра или буква латинского алфавита, например, "4" или "D")
%System%/stdrnd.ime
Данный файл имеет размер 24040 байт и детектируется антивирусом Касперского как Trojan-PSW.Win32.Kykymber.eae.
После этого модифицирует системные файлы с именем "d3d9.dll":
%System%/d3d9.dll
%System%/dllcache/d3d9.dll
Таким образом при запуске приложений, использующих данную библиотеку, на исполнение будет запускаться вредоносная библиотека, извлеченная троянцем.
При модификации системного файла троянец создает файл "d3d9.dll.dat":
%System%/d3d9.dll.dat
Также троянец создает копии оригинального системного файла "d3d9.dll" под именем "d3d9.dll.bak":
%System%/d3d9.dll.bak
%System%/dllcache/d3d9.dll.bak
Если троянец обнаруживает запущенным процесс с именем "360tray.exe", тогда он внедряет вредоносный код в первый из обнаруженных процессов, таким образом обходя защиту антивирусной программы :
explorer.exe
iexplorer.exe
ctfmon.exe
Вредоносный код дублирует манипуляции с системным файлом.
Далее троянец создает во временном каталоге текущего пользователя Windows файл командного интерпретатора с именем "tempVidio.bat" и запускает его на исполнение:
%Temp%/tempVidio.bat
Данный файл имеет размер 172 байта и предназначен для удаления оригинального тела троянца и самого себя.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить файлы:
%System%/stdrnd.ime
%System%/d3d9.dll.dat
- Удалить вредоносный файл из каталога с установленной игрой "World of Warcraft":
каталог установленной игры/msvcr80.dat
- Переименовать файлы "d3d9.dll.bak" в файлы с именами "d3d9.dll":
%System%/d3d9.dll.bak
в файл:
%System%/d3d9.dll
файл:
%System%/dllcache/d3d9.dll.bak
в файл:
%System%/dllcache/d3d9.dll
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
