Технические детали

Троянская программа, открывающая в браузере различные веб-страницы без ведома пользователя. Представляет собой HTML документ, который содержит в своем коде вредоносный сценарий языка Java Script. Имеет размер 10718 байт.

Деструктивная активность

После открытия зараженной страницы, троянец создает каталог:

%ProgramFiles%/WinRAR

Затем определяет месторасположение браузера Internet Explorer, прочитав значение ключа реестра:

[HKLM/Software/Clients/StartMenuInternet/IEXPLORE.EXE/shell/open/command]

Также определяет путь к панели быстрого запуска:

%Documents and Settings%/%Current User%/Application Data/Microsoft/Internet Explorer/Quick Launch

После этого троянец проверяет, передаются ли на вход скрипту дополнительные параметры и если параметры присутствуют – продолжает свое выполнение.

Затем добавляет в системный реестр следующие ключи:

[HKCR/.qc]
"(default)"="qcfile"

[HKCR/qcfile]
"(default)"="їм?Э•?К?"
"NeverShowExt"=""

[HKCR/qcfile/CLSID]
"(default)"="{FBF23B40-E3F0-101B-8488-00AA003E56F8}"

[HKCR/qcfile/DefaultIcon]
"(default)"="%System%/url.dll,0 "

[HKCR/qcfile/shell]
"(default)"="open"

[HKCR/qcfile/shell/open]
"CLSID"="{FBF23B40-E3F0-101B-8488-00AA003E56F8}"

[HKCR/qcfile/shell/open/command]
"(default)"="WScript.exe /"C://Program Files//WinRAR//winrar.knl/" /"%1/""

[HKCR/qcfile/shellex]

[HKCR/qcfile/shellex/ContextMenuHandlers]
"(default)"=""

[HKCR/qcfile/shellex/IconHandler]
"(default)"="{FBF23B40-E3F0-101B-8488-00AA003E56F8}"

[HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/StartPage]
"Favorites"=hex:ff,00,00,00

Далее вредонос, используя инструментарий WMI (Windows Management Instrumentation), пытается завершить процессы со следующими именами:

IEXPLOR.EXE
MAXTHON.EXE
THEWORLD.EXE
IEXPLORE.EXE
360SE.EXE
SOGOUEXPLORER.EXE
TTRAVELER.EXE
FIREFOX.EXE

После этого вредонос выполняет ряд модификаций системного реестра:

• Скрывает значок браузера Internet Explorer с Рабочего стола:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer]
"NoInternetIcon"=dword:00000001

• Включает отображение классического меню Пуск:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/HideDesktopIcons]
"ClassicStartMenu"=dword:00000001

• Скрывает отображение значка Internet Explorer на рабочем столе:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/HideDesktopIcons/NewStartPanel]
"{871C5380-42A0-1069-A2EA-08002B30309D}"=dword:00000001

Затем создает на рабочем столе ярлык под одним из следующих имен:

%Documents and Settings%/All Users/Рабочий стол/Internet Explerer.qc
%Documents and Settings%/All Users/Рабочий стол/INTERNET EXPLERER.qc

и записывает в него строки:

[360]
Sex=АГИЛ
Name=___C%3A%5CProgram%20Files%5CInternet%20Explorer%5Ciexplore.exe___
Tel=
[InternetShortcut]
URL=http://www.b***u.com
IconIndex=0
IconFile=C:/Program Files/Internet Explorer/iexplore.exe

Устанавливает файлу атрибут "Архивный". Используя инструментарий WMI, удаляет стандартные элементы рабочего стола, а именно "Мои документы", диалоговое окно "Поиск", "Корзина". Для этого троянец удаляет ключи со следующими уникальными идентификаторами:

{1f4de370-d627-11d1-ba4f-00a0c91eedba}
{450D8FBA-AD25-11D0-98A8-0800361B1103}
{645FF040-5081-101B-9F08-00AA002F954E}
{e17d4fc0-5564-11d1-83f2-00a0c90dc849}

из ключа реестра:

[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Desktop/NameSpace]

После этого троянец находит все файлы с расширением "lnk" в каталогах:

%Documents and Settings%/All Users/Рабочий стол
%Documents and Settings%/%Current User%/Рабочий стол
%Documents and Settings%/%Current User%/Application Data/Microsoft/Internet Explorer/Quick Launch

и заменяет их содержимое по следующему шаблону:

[360]
Sex=АГИЛ
Name=___полный_путь_к_исполняемому_файлу___
Tel=
[InternetShortcut]
URL=http://www.b***u.com
IconIndex=0
IconFile=полный_путь_к_файлу_содержащему_оригинальную_иконку

Далее устанавливает файлам-ярлыкам атрибут "Архивный". В завершении троянец запускает на выполнение Internet Explorer и открывает в нем вэб ресурс, который располагается по ссылке:

http://www.7***2.com

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Очистить каталог Temporary Internet Files.
3. Удалить ключи системного реестра:

[HKCR/.qc]
[HKCRqcfile]

Установить в "0" значение параметров следующих ключей реестра:

[HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer]
"NoInternetIcon"=dword:00000001

[HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/HideDesktopIcons]
"ClassicStartMenu"=dword:00000001

[HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/HideDesktopIcons/NewStartPanel]
"{871C5380-42A0-1069-A2EA-08002B30309D}"=dword:00000001

4. Восстановить оригинальные значения параметров в ключах реестра:

[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Desktop/NameSpace/{1f4de370-d627-11d1-ba4f-00a0c91eedba}]
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Desktop/NameSpace/{450D8FBA-AD25-11D0-98A8-0800361B1103}]
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Desktop/NameSpace/{645FF040-5081-101B-9F08-00AA002F954E}]
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/Desktop/NameSpace/{e17d4fc0-5564-11d1-83f2-00a0c90dc849}]

5. Восстановить все оригинальные ярлыки на рабочем столе и на панели быстрого запуска:

%Documents and Settings%/All Users/Рабочий стол
%Documents and Settings%/%Current User%/Рабочий стол
%Documents and Settings%/%Current User%/Application Data/Microsoft/Internet Explorer/Quick Launch

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив