Технические детали
Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE DLL-файл). Имеет размер 22016 байт. Написана на C++.
Инсталляция
Троянец копирует свое тело во временный каталог текущего пользователя под именем "engs.tio":
%Temp%/engs.tio
Для автоматического запуска при следующем старте системы троянец добавляет запись в ключ автозапуска системного реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Shell"="Explorer.exe rundll32.exe %Temp%/engs.tio mmxxab
Деструктивная активность
Если на компьютере пользователя был установлен пакет приложений "Microsoft Office", то троянец устанавливает низкий уровень безопасности, записав следующие значения в ключ системного реестра:
[HKCU/Software/Microsoft/Office/11.0/Word/Security]
"Level" = "1"
"AccessVBOM" = "1"
И выполняет макрос, с помощью которого запускает на выполнение оригинальное тело троянца.
Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем:
224187538685a04dba
Далее троянец создает процесс с именем "svchost.exe" и внедряет в его адресное пространство свой вредоносный код:
svchost.exe
Троянец отправляет запрос по следующему адресу:
http://w***isip.org.uk/ff/bb.php
На момент создания описания ссылка не работала. В ответ получает файл конфигурации для дальнейшей своей работы. Ссылки для загрузки других вредоносных файлов, полученные из файла конфигурации, троянец сохраняет в следующем ключе реестра:
[HKCR/idid]
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
%Temp%/engs.tio
- Очистить каталог Temporary Internet Files.
- Удалить ключ системного реестра:
[HKCR/idid]
- При необходимости восстановить значения параметров "Level" и "AccessVBOM" в ключе системного реестра:
[HKCU/Software/Microsoft/Office/11.0/Word/Security]
"Level"
"AccessVBOM"
- Восстановить значение параметра ключа системного реестра на следующее:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Shell" = "Explorer.exe"
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
