Worm.Win32.AutoRun.ams
Материал из Total Malware Info
Worm.Win32.AutoRun.ams Червь, создающий свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является приложением Windows (PE-EXE файл). Имеет размер 27695 байт. Упакован при помощи UPX, распакованный размер 82 к.б.
Инсталляция
Копирует свой исполняемый файл как:
%Program Files%\Internet Explorer\PLUGINS\NewTemp.bak
Извлекает из своего тела библиотеку:
%Program Files%\Internet Explorer\PLUGINS\NewTemp.dll %Program Files%\Internet Explorer\PLUGINS\NewTemp.bkk
Данный файл имеет размер 9216 байта и детектируется Антивирусом Касперского как Worm.Win32.AutoRun.ams Для автоматического запуска при следующем старте системы вирус добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
{0EA66AD2-CF26-2E23-532B-B292E22F3266}
[HKCR\CLSID\{0EA66AD2-CF26-2E23-532B-B292E22F3266}\InProcServer32]
“default”=”C:\Program Files\Internet Explorer\PLUGINS\NewTemp.dll”
Распространение
Копирует свой исполняемый файл в корень каждого раздела со следующим именем:
<X>:\PegeFile.exe
где, X – буква раздела. Так же вместе со своим исполняемым файлом вирус помещает в корень диска сопровождающий файл:
<X>:\autorun.inf
который запускает исполняемый файл вируса, каждый раз, когда пользователь открывает зараженный раздел при помощи программы ”Проводник”.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи <Диспетчера задач> завершить вредоносный процесс.
- Удалить оригинальный файл вируса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить параметр в ключе системного реестра:
- Удалить ключ системного реестра:
- Удалить файлы:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
{0EA66AD2-CF26-2E23-532B-B292E22F3266}
[HKCR\CLSID\{0EA66AD2-CF26-2E23-532B-B292E22F3266}]
%Program Files%\Internet Explorer\PLUGINS\NewTemp.bak %Program Files%\Internet Explorer\PLUGINS\NewTemp.dll %Program Files%\Internet Explorer\PLUGINS\NewTemp.bkk <X>:\PegeFile.exe <X>:\autorun.inf
где, X – буква раздела.
