Trojan-Downloader.VBS.Agent.fe

Материал из Total Malware Info

Trojan-Downloader.VBS.Agent.fe Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Программа является HTML-страницей содержащей сценарии языка Visual Basic Script и Java Script. Имеет размер 6881 байт.

Деструктивная активность

Тело троянца находится в зашифрованном виде в специально сформированной Web-странице. После активации троянец производит расшифровку и внедрение своего кода в память процесса, имеющего следующий уникальный идентификатор в системном реестре:

{BD96C556-65A3-11D0-983A-00C04FC29E36}

Используя уязвимость в ActiveX компоненте "XMLHTTP", троянец загружает файл со следующего URL:

http://shengyan*********y.com.tw/BBB/b14.jpg

Данный файл имеет размер 87040 байт и детектируется Антивирусом Касперского, как Trojan-PSW.Win32.OnLineGames.ixi. Используя уязвимость в ActiveX компоненте "ADODB.Stream" троянец сохраняет скачанный файл во временный каталог текущего пользователя Window под именем "svchovt.com":

%Temp%\svchovt.com

Далее файл сохраняется в корневой каталог диска С: под следующими именами:

C:\boot.com

Далее троянец, используя уязвимость, существующую из-за ошибки в проверке входных данных в "EDraw.OfficeViewer" (officeviewer.ocx) ActiveX компоненте при обработке аргументов в методе "HttpDownloadFile()", производит загрузку файла с выше указанного URL и сохраняет его в:

C:\test.exe

Затем троянец в скрытом фрейме выполняет код со следующего URL:

http://www.me******com.tw/simple/newly/image/1.htm

Троянец, используя уязвимость ActiveX компоненте "WebViewFolderIcon" в методе setSlice() производит переполнение буфера (MS06-57) и загружает файл со следующего URL:

http://www.li*******com.tw/dm/a.jpg

Данный файл имеет размер 88044 байта и детектируется Антивирусом Касперского, как Trojan-PSW.Win32.OnLineGames.ixi. Далее файл сохраняется в системный каталог Windows под именем "a.exe":

%System%\a.exe

После чего файл запускается на выполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файл:

%Temp%\svchovt.com
C:\boot.com
C:\test.exe
%System%\a.exe

3. Очистить каталог (<a href=http://www.k******ky.ru/faq?chapter=186784895&qid=153219411">Как удалить инфицированные файлы в папке Temporary Internet Files?</a>):

%Temporary Internet Files%

4. Отключить уязвимый ActiveX объект (Как отключить запуск элемента управления ActiveX в обозревателе Internet Explorer).
5. Загрузить обновление:

http://www.m*******t.com/technet/security/bulletin/ms06-057.mspx