Технические детали
Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 87040 байт. Написана на C++.
Деструктивная активность
После запуска троянец, для контроля уникальности своего процесса в системе, создает уникальный идентификатор с именем "woemnm593jfe". Также создает в системном реестре следующий ключ:
[HKCU/Software/wrfke]
"session" = "текущая_дата"
Распространение
Вредонос находит все сетевые ресурсы, которые открыты на полный доступ и затем извлекает из своего тела, в каждый сетевой каталог, два вредоносных файла:
//имя_сервера/имя_сетевого_ресурса/zrnd.tmp
где rnd – случайная цифробуквенная последовательность. Данный файл имеет размер 76800 байт и детектируется антивирусом Касперского как Trojan-Dropper.Win32.Sality.r. Устанавливает файлу атрибуты "Скрытый", "Архивный".
Для автозапуска извлеченного файла вредонос использует уязвимость, которая существует при обработке LNK-файлов в Windows (MS10-046, CVE-2010-2568). Файл эксплоита сохраняется под следующими именами:
//имя_сервера/имя_сетевого_ресурса/xxx.yyy.lnk
где xxx.yyy – имя и расширение случайного файла, который находится в каталоге, либо под одним из перечисленных имен:
Copy of New Folder.lnk
Copy of New File.lnk
Copy of Shortcut.lnk
New Shortcut.lnk
New Folder.lnk
Shortcut.lnk
Drivers.lnk
Anna Benson Sex video.lnk
Kick_Ass.avi.lnk
Jenna Elfman sex anal deepthroat.avi.lnk
Miss America Porno.lnk
Porno Screensaver.lnk
Serials.lnk
Barrett Jackson nude photos.lnk
Britney Spears XXX.lnk
Paris Hilton XXX Archive.lnk
XXX hardcore.avi.lnk
XXX.lnk
XXX archive.lnk
groom.avi.lnk
Fotograf.lnk
Photoalbum.lnk
My photoalbum.lnk
Myphotos.lnk
My photos.lnk
My beautiful person.lnk
beautiful.lnk
Gallery photos.lnk
caroline.avi.lnk
Katrina.avi.lnk
kleopatra.avi.lnk
Pussy.avi.lnk
Mary-Anne.lnk
Lisa.jpg.lnk
Bad girl.jpg.lnk
Julie.lnk
Aline.lnk
Anna.jpg.lnk
Barbi.jpg.lnk
Katrina.lnk
Juli.jpg.lnk
Mary.lnk
Mandy.lnk
Sara.lnk
rebecca.jpg.lnk
Jammie.lnk
kate.lnk
Audra.lnk
stacy.lnk
Rena.lnk
Kelley.lnk
Tammy.lnk
Picture.lnk
My Photos.lnk
Photoalbum.lnk
Данный файл имеет размер 212 байт и детектируется антивирусом Касперского как Exploit.Win32.CVE-2010-2568.d.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить ключ системного реестра:
[HKCUSoftwarewrfke]
- Удалить из общедоступных каталогов файлы с именами:
zrnd.tmp
xxx.yyy.lnk
где rnd – случайная цифробуквенная последовательность; xxx.yyy – имя и расширение случайного файла, который находится в каталоге.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
