Worm.VBS.Small.h

Материал из Total Malware Info

Worm.VBS.Small.h Червь, заражающий съемные и локальные диски компьютера пользователя. Является файлом сценария языка Visual Basic Script. Имеет размер 7560 байт.

Инсталляция

При запуске червь копирует свой исполняемый файл под следующим именем:

%WinDir%\RUNDLL64.dll.vbs

Данному файлу устанавливается атрибут "Скрытый". Для автоматического запуска при каждом следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"MSConfigs" = "%WinDir%\RUNDLL64.dll.vbs"

Деструктивная активность

Далее червь в корне доступных съемных и локальных дисков (кроме диска A:) создает файлы с атрибутом "Скрытый":

RUNDLL64.dll.vbs
autorun.inf

Первый файл является копией вируса. Второй файл содержит команду, автоматически запускающую копию вируса при обращении к зараженным дискам через проводник Windows после перезагрузки системы. После этого червь вносит следующие изменения в системный реестр:

• Изменяет заголовок окна в браузере Internet Explorer:

[HKCU\Software\Microsoft\Internet Explorer\Main]
"Window Title" = "HELLO WORLD i am VB"

• Блокирует запуск "Диспетчера задач Windows":

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr" = "1"

• Удаляет пункт "Найти" из меню "Пуск":

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoFind" = "1"

• Удаляет пункт "Все программы" из меню "Пуск":

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoStartmenuMorePrograms" = "1"

• Изменяет внешний вид иконок для файлов с расширением "vbs":

[HKCR\vbsfile]
"DefaultIcon" = "shell32.dll,2"

Если для заражения было доступно более 1 логического диска, то червь приостанавливает свою работу на 200 секунд а затем запускает на выполнение свое оригинальное тело.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи ("Диспетчера задач") завершить процесс WScript.exe.
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметры в ключах реестра (как работать с реестром?):

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"MSConfigs" = "%WinDir%\RUNDLL64.dll.vbs"

[HKCU\Software\Microsoft\Internet Explorer\Main]
"Window Title" = "HELLO WORLD i am VB"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr" = "1"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoFind" = "1"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoStartmenuMorePrograms" = "1"

[HKCR\vbsfile]
"DefaultIcon" = "shell32.dll,2"

4. Удалить файл:

%WinDir%\RUNDLL64.dll.vbs