Технические детали

Троянская программа. Программа является приложением Windows (PE-EXE файл). Имеет размер 2560 байт. Распакованный размер – около 3 КБ. Написана на C++.

Деструктивная активность

При запуске троянец записывает конец системного файла «%system%/drivers/etc» следующие строки:

89.***.196 www.google.com
89.***.196 www.google.de
89.***.196 www.google.fr
89.***.196 www.google.co.uk
89.***.196 www.google.com.br
89.***.196 www.google.it
89.***.196 www.google.es
89.***.196 www.google.co.jp
89.***.196 www.google.com.mx
89.***.196 www.google.ca
89.***.196 www.google.com.au
89.***.196 www.google.nl
89.***.196 www.google.co.za
89.***.196 www.google.be
89.***.196 www.google.gr
89.***.196 www.google.at
89.***.196 www.google.se
89.***.196 www.google.ch
89.***.196 www.google.pt
89.***.196 www.google.dk
89.***.196 www.google.fi
89.***.196 www.google.ie
89.***.196 www.google.no
89.***.196 www.google.co.in
89.***.196 search.yahoo.com
89.***.196 us.search.yahoo.com
89.***.196 uk.search.yahoo.com

Таким образом, запросы к серверам из списка будут перенаправлены по адресу «89.***.196».

После этого троянец завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Изменить модифицированный файл «%System%/drivers/etc/hosts», используя любое стандартное приложение (например, «Блокнот» — «Notepad»). Требуется удалить все добавленные троянцем строки. Оригинальный файл hosts выглядит следующим образом:

# (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом `#`.
#
# Например:
#
# 102.54.94.97 rhino.acme.com # исходный сервер
# 38.25.63.10 x.acme.com # узел клиента x

127.0.0.1 localhost

3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив