Технические детали

Троянская программа, похищающая конфиденциальные данные пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 11816 байт. Упакована UPack. Распакованный размер – около 82 КБ. Написана на C++.

Инсталляция

После запуска троянец выполняет следующие действия:

• копирует свое тело в файл:

%System%/kbrnd.dll
где rnd – девятизначное десятичное число, сформированное на основании текущего системного времени.

• создает в системе файлы:

%System%/drivers/jxsiekc.dat (1010 байт)
%System%/wsconfig.db (45 байт)

В файл "wsconfig.db" записывается строка, содержащая полный путь к созданной копии троянца. Дописывает в файл системной библиотеки

%System%/imm32.dll

секцию с именем ".ss32", содержащую исполняемый код, предназначенный для загрузки копии троянца "kbrnd.dll" в адресное пространство всех процессов, подгружающих данную библиотеку. При этом размер файла "imm32.dll" увеличивается на 1028 байт.

Оригинальный файл библиотеки сохраняется как

%System%/imm32.dll.bak

• Троянец содержит в своем теле хеш имени процесса, полученный при помощи алгоритма хеширования MD5, который сравнивает с хешами имен всех запущенных в системе процессов. Если хеши совпали, найденный процесс завершается.
• Для удаления своего оригинального файла после завершения его работы создает сценарий командного интерпретатора

c:/delrnd1.bat

где rnd1 – случайное семизначное шестнадцатеричное число следующего содержания:

:Repeat
del "полный путь к оригинальному файлу троянца"
if exist "полный путь к оригинальному файлу троянца" goto Repeat
del "c:/delrnd1.bat"

• Запускает созданный сценарий и завершает свою работу. При этом сам сценарий также удаляется.

Деструктивная активность

Устанавливая перехватчики на некоторые функции библиотеки "text.dll", подгруженной в адресное пространство процесса "jxonline.exe", троянец похищает конфиденциальную информацию пользователей онлайн игры "JX Online". Полученные данные отправляются в POST-запросе на сервер злоумышленника.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Перезагрузить компьютер в «безопасном режиме» (в самом начале загрузки нажать и удерживать клавишу «F8», затем выбрать пункт «Safe Mode» в меню загрузки Windows).
2. Удалить файлы:

%System%/kbrnd.dll
%System%/drivers/jxsiekc.dat
%System%/wsconfig.db
%System%/imm32.dll

3. Переименовать файл

%System%/imm32.dll.bak в "imm32.dll".

4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив