Технические детали
Программа-эксплоит, использующая для своего выполнения на компьютере пользователя уязвимость в продуктах Adobe Acrobat и Adobe Reader. Является PDF документом содержащим сценарии языка Java Script. Имеет размер 1990 байт.
Деструктивная активность
Вредоносный PDF документ содержит в своем теле обфусцированный сценарий Java Script, запускающийся на исполнение при открытии документа с помощью Adobe Acrobat или Adobe Reader.
Используя уязвимость объекта Collab, выполняя переполнение буфера при обработке метода.GetIcon() (CVE-2009-0927), затронувшей продукты Adobe Reader и Adobe Acrobat 9 ранее версии 9.1, 8 ранее версии 8.1.2 и 7 ранее версии 7.1, эксплоит выполняет загрузку файла со следующего URL:
http://inf***ff.com/w2/l.php?i=6
Скачанный файл эксплоит сохраняет во временном каталоге текущего пользователя Windows под следующими именами:
%Temp%/pdfupd.exe
%Temp%/crash.php
Данные файлы имеют размер 122880 байт и детектируются Антивирусом Касперского как Trojan-Spy.Win32.Zbot.akfo.
После успешной загрузки файлы запускаются на исполнение.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
%Temp%/pdfupd.exe
%Temp%/crash.php
- Очистить каталог Temporary Internet Files.
- Обновить Adobe Reader и Adobe Acrobat до последних версий.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
