Virus.VBS.Small.k

Материал из Total Malware Info

Virus.VBS.Small.k Вредоносная программа, устанавливающая в систему другие вредоносные программы без ведома пользователя. Является HTML-страницей, содержащей сценарии языков Visual Basic Script и Java Script. Имеет размер 56802 байт.

Деструктивная активность

После активации вирус внедряет свой код в память процесса, имеющего следующий уникальный идентификатор в системном реестре:

{BD96C556-65A3-11D0-983A-00C04FC29E36}

Далее вирус извлекает из своего тела следующие файлы:

%System%\TSP32E.DLL – 7680 байт
%System%\TSP32V.DLL – 17922 байта
%System%\Kernel.exe – 2560 байт, детектируется антивирусом Касперского как Trojan-Downloader.Win32.Small.ehd
%System%\Kernel.vbs – 5974 байта, детектируется антивирусом Касперского как Virus.VBS.Small.f

После этого вредонос запускает на выполнение файл:

%System%\Kernel.vbs

Для автоматического запуска файла "Kernel.exe" при каждом следующем старте системы записывает следующую информацию в ключ автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Windows" = "%System%\Kernel.exe"

Затем троянец выполняет код со следующих URL:

http://172*****.72/ifsisaum/phpmv2/phpmyvisites.js
http://172*****.72/ifsisaum/phpmv2/phpmyvisites.php

На момент создания описания ссылки не работали.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл вируса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить параметр в ключе реестра (как работать с реестром?):

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Windows" = "%System%\Kernel.exe"

3. Удалить файлы:

%System%\TSP32E.DLL
%System%\TSP32V.DLL
%System%\Kernel.exe
%System%\Kernel.vbs