Технические детали
Троянская программа, открывающая в браузере различные веб-страницы без ведома пользователя. Является HTML-страницей, содержащей сценарии языка JavaScript. Имеет размер 2045 байт.
Деструктивная активность
После открытия зараженного веб-ресурса в браузере пользователя отображается следующий HTML документ:
После отправки платного смс, изменений на странице не происходит. Также вредонос пытается выполнить скрипт с именем "tov.js", который располагается на сервере злоумышленника. В результате выполнения скрипта троянец расшифровывает ссылку по которой осуществляет HTTP запрос:
http://домен_злоумышленника/tov/juhwhuiu.php
После открытия данного ресурса, происходит загрузка файла, который сохраняется во временный каталог текущего пользователя с именем:
%Temp%/pdfupd.exe
Файл имеет размер 49152 байта и детектируется антивирусом Касперского как Trojan-Ransom.Win32.HomoBlocker.bc. Затем загруженный файл запускается на выполнение.
После запуска копирует свое тело под следующим именем:
%Documents and Settings%/%Current User%/wlock/-wlock.exe
Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit"="C://WINDOWS//system32//userinit.exe, %Documents and Settings%/%Current User%/wlock/wlock.exe"
Запущенный вредонос блокирует систему пользователя и вымогает отправить смс на платный номер для получения кода снятия блокировки. При этом вредонос отображает следующее окно:
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Для удаления троянца-блокера необходимо воспользоваться Kaspersky Rescue Disk (скачать Kaspersky Rescue Disk).
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Очистить каталог Temporary Internet Files.
- Удалить каталог со всем содержимым:
%Documents and Settings%/%Current User%/wlock
- Изменить значение параметра в ключе системного реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit"="C://WINDOWS//system32//userinit.exe, %Documents and Settings%/%Current User%/wlock/wlock.exe"
на
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit"="C://WINDOWS//system32//userinit.exe"
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
