Worm.VBS.Small.d
Материал из Total Malware Info
Worm.VBS.Small.d Червь, заражающий съемные и локальные диски компьютера пользователя. Является файлом сценария языка Visual Basic Script. Имеет размер 3832 байта.
Инсталляция
При запуске червь копирует свой исполняемый файл под следующим именем:
%WinDir%\Win32.dll.vbs
Данному файлу устанавливается атрибут "Скрытый". Для автоматического запуска при каждом следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "mcafee" = "%WinDir%\Win32.dll.vbs"
Деструктивная активность
Далее червь в корне доступных съемных и локальных дисков (кроме диска A:) создает файлы с атрибутом "Скрытый":
Win32.dll.vbs autorun.inf
Первый файл является копией вируса. Второй файл содержит команду, автоматически запускающую копию вируса при обращении к зараженным дискам через проводник Windows после перезагрузки системы. После этого червь вносит следующие изменения в системный реестр:
- Изменяет заголовок окна в браузере Internet Explorer:
[HKCU\Software\Microsoft\Internet Explorer\Main] "Window Title" = "Fuck USA & EZRAEL! [Can Dajjal Come Out And Play ?!]"
[HKCR\vbsfile] "DefaultIcon" = "shell32.dll,2"
Если для заражения было доступно более 1 логического диска, то червь приостанавливает свою работу на 200 секунд а затем запускает на выполнение свое оригинальное тело.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:
- При помощи ("Диспетчера задач") завершить процесс WScript.exe.
- Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить параметры в ключах реестра (как работать с реестром?):
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "mcafee" = "%WinDir%\Win32.dll.vbs" [HKCU\Software\Microsoft\Internet Explorer\Main] "Window Title" = "Fuck USA & EZRAEL! [Can Dajjal Come Out And Play ?!]" [HKCR\vbsfile] "DefaultIcon" = "shell32.dll,2"
