Технические детали
Эксплоит, использующий уязвимость в JRE (Java Runtime Environment) для загрузки на зараженный компьютер других вредоносных программ. Является JAR-архивом, содержащим набор Java-классов (class-файлы). Имеет размер 10661 байт.
MD5: 025DB82EBAA0E2FFFD47458E90D7807B
SHA1: 90159CCCE0676CBCDEF620887DA733094A205282
Деструктивная активность
Вредоносный JAR-архив содержит следующие файлы:
MessageStack/ConvertVal.class (1519 байт)
MessageStack/Copier.class (683 байта)
MessageStack/QMessage.class (632 байта)
MessageStack/StringPack.class (1468 байт)
MessageStack/TextMessage.class (1051 байт)
Meta-inf/Manifest.mf (71 байт)
xmlTools/Container.class (3807 байт)
xmlTools/Env.class (656 байт)
xmlTools/XmlConstruct.class (2784 байта)
xmlTools/XMLMaker.class (5356 байт; детектируется Антивирусом Касперского как "Exploit.Java.CVE-2010-0840.ap")
Вредонос представляет собой Java-апплет (главный класс апплета – "XMLMaker"), предназначенный для загрузки из сети Интернет файлов по переданным ссылкам. Запуск апплета производится с зараженной HTML-страницы при помощи тега "APPLET", для которого в параметре "prm" передается строка, содержащая в зашифрованном виде список ссылок на загружаемые файлы. Ссылки в данной строке отделяются друг от друга символами "::". После запуска троянец расшифровывает полученные ссылки при помощи функции "name" класса "StringPack". В ходе расшифровки используются следующие соответствия для входных и выходных символов:
Входные символы:
QOn7cZAVmK/G4WuBqfLxj1_tlE8PTrpN2Y3:MUa=&5oRi%y?9DHv-Cgwkh60b.FdeSI#zJXs
Выходные символы:
aDLXq-_.mjnWN6fwcsKB?xbITS=CykGvd91Z:%ElR5po0rzA8/JYP72#ue&t4iQFhVU3OMgH
Затем вредонос проверяет имя установленной на зараженном компьютере ОС. Если ОС отлична от Windows, то вредонос завершает свою работу. В противном случае по полученным ссылкам выполняется загрузка файлов. Вредонос определяет тип загружаемого файла (исполняемый файл либо динамическая библиотека) по наличию в расшифрованной ссылке подстрок ".exe", ".dll". Загруженные файлы сохраняются в каталоге хранения временных файлов текущего пользователя как
%Temp%/rnd.exe
или
%Temp%/rnd.dll
где rnd – случайные дробные десятичные числа от 0 до 1.
После успешной загрузки очередного исполняемого файла, файл будет запущен на выполнение. В случае загрузки динамической библиотеки ее запуск осуществляется при помощи системной утилиты "regsvr32.exe":
regsvr32 –s %Temp%/rnd.dll
В ходе своей работы эксплоит использует уязвимость CVE-2010-0840 в JRE (Java Runtime Environment). Уязвимость проявляется вследствие ненадлежащей проверки при выполнении привилегированных методов в JRE, что позволяет злоумышленнику выполнить произвольный код при помощи определенным образом модифицированного объекта, являющегося подклассом доверенного класса. Данная уязвимость позволяет вредоносу наследовать и использовать методы, недоступные для класса Java-апплета, который является подклассом непривилегированного класса "Applet".
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
%Temp%/rnd.exe
%Temp%/rnd.dll
- Обновить Sun Java JRE и JDK до последних версий.
- Очистить каталог Temporary Internet Files.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
