Другие версии: .at, .bw, .do, .et, .ex, .gl, .iq, .jv, .jx, .la, .lb, .lg, .mo, .ms,
.mx, .nd, .nf, .ns, .nv, .oa, .oi, .on, .op, .ov, .oz, .pb, .qa, .qy

Поведение

Email-Worm, почтовый червь.

Технические детали

Вирус-червь. Является приложением Windows (PE EXE-файл). Имеет размер 124928 байт. Упакован с помощью UPX, распакованный размер — около 153 КБ.

Инсталляция

При запуске червь создает следуюшие файлы:

%System% asppowr.dll
%System% asppowr.exe
%System% asppowr.z1
%System% asppowr.dat

Также червь создает следующий ключ в системном реестре:

[HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonNotify asppowr]
"DllName" = "%System% asppowr.dll"
"Startup" = "WlxStartupEvent"
"Shutdown" = "WlxShutdownEvent"
"Impersonate" = dword:00000000
"Asynchronous" = dword:00000000

Распространение

Данная вредоносная программа распространяется при помощи ICQ. Рассылаемые сообщения включают текст «Check this:» или «My party pics:», после которого следует ссылка на исполняемый файл последней модификации Warezov. После открытия данной ссылки в веб-браузере пользователю предлагается загрузить файл с именем «photo.pif». При запуске скачанного файла происходит инсталляция червя в систему.

Деструктивная активность

Червь отключает следующее антивирусное программное обеспечение и межсетевые экраны:

Sygate Personal Firewall
Symantec Internet Security
Agnitum Outpost Firewall
McAfee.com Personal Firewall
Kerio WinRoute

Также червь обладает функцией загрузки с сайтов злоумышленника других вредоносных программ с последующим запуском скачанных файлов на исполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить процесс червя (возможное имя процесса — «rasppowr.exe»).
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить следующие файлы:

%System% asppowr.dll
%System% asppowr.exe
%System% asppowr.z1
%System% asppowr.dat

4. Удалить ключ системного реестра:

[HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonNotify asppowr]

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: viruslist.com.

перейти в архив