Технические детали

Программа-эксплоит, использующая уязвимости в продуктах Oracle Java и Adobe Reader/Acrobat, MS Internet Explorer, а также в центре справки и поддержки Microsoft Windows для выполнения загрузки и запуска вредоносного ПО. Представляет собой HTML документ, который содержит в себе сценарии Java Script. Имеет размер 91929 байт.

Деструктивная активность

После открытия в браузере вредоносной HTML страницы, отображается следующее сообщение:

Затем, используя сценарии Java Script, вредонос выполняет расшифровку своего тела и собирает системную информацию, а именно:

• Тип ОС:

Win
Mac
Linux
FreeBSD
iPhone
iPod
iPad
Win.*CE
Win.*Mobile
Pocket//s*PC

• Установленный браузер:

MS Internet Explorer
Mozilla Firefox
Safari
Chrome
Opera

• Установленные в браузер плагины, а также ActiveX объекты.
• Поддерживаемые браузером MIME типы.
• Версии установленных Java и AdobeReader.

Далее вредонос пытается эксплуатировать уязвимости, которые существуют в Java, запуская в браузере пользователя Java-апплеты, которые располагаются по ссылкам:

http://доменное_имя_зараженного_сервера/games/getJavaInfo.jar
http://доменное_имя_зараженного_сервера/games/mario.jar

Апплет "mario.jar" запускается со следующими параметрами:

name=`com`
value=`зашифрованная_ссылка`

где для апплета, в качестве главного класса, задается класс с именем:

tools.Commander.class

Также, в зависимости от версии, установленной в системе Java, эксплоит пытается открыть в скрытых фреймах следующие вэб-ресурсы:

http://доменное_имя_зараженного_сервера/games/java_trust.php?f=91
http://доменное_имя_зараженного_сервера/games/java_skyline.php?f=91

Для выполнения дополнительных вредоносных сценариев, вредонос активирует следующие ActiveX объекты:

Msxml2.XMLHTTP
Msxml2.DOMDocument
Microsoft.XMLDOM
ShockwaveFlash.ShockwaveFlash
TDCCtl.TDCCtl
Shell.UIHelper
Scripting.Dictionary
wmplayer.ocx

Для выполнения Java приложений в браузере вредонос определяет следующие MIME типы:

application/x-java-applet
application/x-java-vm
application/x-java-bean
application/x-java-applet
application/npruntime-scriptable-plugin;deploymenttoolkit
application/java-deployment-toolkit

Используя уязвимость в Java Deployment Toolkit (JDT), которая возникает из-за некорректной обработки URL, что позволяет злоумышленнику передавать произвольные параметры в Java Web Start (JWS) (CVE-2010-0886). Злоумышленник специальным образом формирует ссылку и передает ее в качестве параметра уязвимой функции "launch()". Таким образом, вредонос, под видом видеофайла файла, запускает вредоносный Java-апплет:

//195.***.***.31/pub/new.avi

выполняющий загрузку, по передаваемой в виде параметра ссылке, файла:

http://thek***velo.info/k.php?f=91&e=2

После успешной загрузки файл сохраняется под именем:

%Temp%/rnd.exe

где rnd – случайное дробное число от 0 до 1. Затем загруженный файл запускается на выполнение.

Для выполнения вредоносного сценария в MS Internet Explorer, эксплоит использует ActiveX объекты с уникальными идентификаторами:

{CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA}
{8AD9C840-044E-11D1-B3E9-00805F499D93}

Затем вредонос использует уязвимость, которая возникает при некорректной обработке функцией "MPC::HexToNum" escape-последовательностей в URL приложений Microsoft Windows Help и Support Center (helpctr.exe) (MS10-042, CVE-2010-1885). Успешное использование уязвимости позволяет злоумышленнику выполнить команды, которые передаются в специально сформированном "hcp://".

Используя метод "openPlayer()" вредонос пытается открыть в Windows Media Player файл эксплоита, который размещается по ссылке:

http://thek***velo.info/games/hcp_asx.php?f=91

либо в скрытом фрейме пытается выполнить специально сформированный сценарий. В результате вредонос, используя ActiveX объект "MSXML2.XMLHTTP", выполняет загрузку файла, который располагается по следующему URL:

http://thek***velo.info/games/hcp_vbs.php?f=91

и сохраняет его в каталог хранения временных файлов текущего пользователя под именем:

%Temp%/l.vbs

Используя командную строку, вредонос запускает на выполнение загруженный файл, а также завершает процесс центра справки и поддержки Microsoft Windows:

HelpCtr.exe

Далее вредонос определяет установленные в браузере плагины и ActiveX объекты Adobe Reader и Adobe Acrobat. Для выполнения вредоносного сценария в MS Internet Explorer, троянец использует ActiveX объект с уникальным идентификатором:

{CA8A9780-280D-11CF-A24D-444553540000}

Для выполнения в Mozilla Firefox и в других NPAPI браузерах, эксплоит определяет следующие MIME типы:

application/vnd.adobe.pdfxml
application/vnd.adobe.x-mars

Уязвимые версии Adobe Reader – версия 8.0.0 и более ранние, а также все версии Adobe Reader до 9.3.1. В зависимости от версии установленного "PDF Reader" – открывает вредоносные PDF документы по одной из ссылок:

http://доменное_имя_зараженного_сервера/games/1fdp.php?f=91
http://доменное_имя_зараженного_сервера/games/2fdp.php?f=91

На момент создания описания ссылки не работали.

омендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Очистить каталог Temporary Internet Files.
3. Очистить каталог хранения временных файлов:

%Temp%

4. Обновить JRE и JDK до последних версий.
5. Установить последнюю версию Adobe Reader и Adobe Acrobat.
6. Установить обновления:

http://www.microsoft.com/technet/security/bulletin/ms10-042.mspx

7. Отключить уязвимые ActiveX объекты.
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив