Worm.Win32.AutoRun.vnk
Материал из Total Malware Info
Worm.Win32.AutoRun.vnk — червь, создающий свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является приложением Windows (PE-EXE файл). Имеет размер 20 680 байт. Упакован неизвестным упаковщиком. Распакованный размер – около 44 КБ. Написан на C++.
Содержание |
Инсталляция
После запуска червь перемещает содержимое файла
%System%\spoolsv.exe
в файл
c:\tm.sa
Далее червь копирует свое тело в следующие файлы:
%System%\spoolsv.exe %System%\dllcache\spoolsv.exe
Для автоматического запуска созданной копии процессом "explorer.exe" при каждом следующем старте системы червь создает ключ системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\policies\explorer\run] "internetnet" = "%System%\spoolsv.exe"
Для своего оригинального файла червь устанавливает атрибут "скрытый" (hidden).
Распространение
Червь копирует свое тело на все доступные для записи логические и съемные диски под следующим именем:
ZGXZ.PIF
Вместе со своим исполняемым файлом червь помещает файл:
<имя зараженного раздела>:\AUTORUN.INF
следующего содержания:
[AutoRun] shell\open=ґтїЄ(&O) shell\open\Command=ZGXZ.PIF shell\open\Default=1 shell\explore=ЧКФґ№ЬАнЖч(&X) shell\explore\command=ZGXZ.PIF
Это позволяет червю запускаться каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник". Созданным файлам присваивается атрибут "скрытый" (hidden).
Деструктивная активность
После запуска червь выполняет следующие действия:
- создает уникальный идентификатор с именем:
ZOUXIAQU
%System%\mfc71.dll C:\Program Files\Kingsoft\Kingsoft Internet Security 2008\KASBrowserShield.DLL D:\Program Files\Kingsoft\Kingsoft Internet Security 2008\kasbrowsershield.dll
%System%\packet.dll /e /p everyone:f %System%\pthreadVC.dll /e /p everyone:f %System%\wpcap.dll /e /p everyone:f %System%\drivers\npf.sys /e /p everyone:f %System%\npptools.dll /e /p everyone:f %System%\drivers\acpidisk.sys /e /p everyone:f %System%\wanpacket.dll /e /p everyone:f
%System%\drivers\beep.sys
заменяется файлом, извлеченным из тела червя. Извлеченный файл имеет размер 2304 байта, детектируется Антивирусом Касперского как Worm.Win32.AutoRun.vmn. После замены бинарного файла работа службы "Beep" возобновляется.
- Выгружает из системной памяти следующие процессы:
360Safe.exe 360tray.exe 360rpt.EXE Runiep.exe Rsaupd.exe RAv.exe RSTray.exe CCenter.EXE RAVMON.EXE Ravservice.EXE ScanFrm.exe rsnetsrv.EXE RAVTRAY.EXE RAVMOND.EXE GuardField.exe Ravxp.exe GFUpd.exe kmailmon.exe kavstart.exe KAVPFW.EXE kwatch.exe kav32.exe kissvc.exe UpdaterUI.exe rfwsrv.exe rfwProxy.exe Rfwstub.exe RavStub.exe rfwmain.exe TBMon.exe nod32kui.exe nod32krn.exe KASARP.exe FrameworkService.exe scan32.exe VPC32.exe VPTRAY.exe AntiArp.exe KRegEx.exe KvXP.kxp kvsrvxp.kxp kvsrvxp.exe KVWSC.ExE Iparmor.exe Avp.EXE VsTskMgr.exe EsuSafeguard.exe wuauclt.exe
sharedaccess McShield KWhatchsvc KPfwSvc Kingsoft Internet Security Common Service Symantec AntiVirus norton AntiVirus server DefWatch Symantec AntiVirus Drivers Services Symantec AntiVirus Definition Watcher Norton AntiVirus Server
/c net1 start server /c sc delete spooler
Это приводит запуску службы "server" и удалению службы "spooler".
- Запускает процесс
%Program files%\Internet Explorer\IEXPLORE.EXE
http://a.w****com/dd/x.gif http://a.w****com/dd/1.exe http://a.w****com/dd/2.exe http://a.w****com/dd/3.exe http://a.w****com/dd/4.exe http://a.w****com/dd/5.exe http://a.w****com/dd/6.exe http://a.w****com/dd/7.exe http://a.w****com/dd/8.exe http://a.w****com/dd/9.exe http://a.w****com/dd/10.exe
На момент создания описания ссылки не работали. Загруженные файлы сохраняются в системе соответственно под следующими именами:
C:\Program Files\ccdd.pif C:\Documents and Settings\1ts.pif C:\Documents and Settings\2ts.pif C:\Documents and Settings\3t.pif C:\Documents and Settings\4.pif C:\Documents and Settings\5.pif C:\Documents and Settings\6ts.pif C:\Documents and Settings\7.pif C:\Documents and Settings\8.pif C:\Documents and Settings\9ts.pif C:\Documents and Settings\10ts.pif
После успешной загрузки файлы запускаются на выполнение.
- Создает ключи системного реестра:
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<Application name>] "debugger"= "%System%\dllcache\spoolsv.exe"
Всего создается 61 ключ. Подстрока <Application name> принимает следующие значения:
360rpt.EXE 360safe.EXE 360tray.EXE 360safebox.EXE safeboxTray.EXE AVP.EXE AVP.COM AvMonitor.EXE Ravservice.EXE RAVTRAY.EXE CCenter.EXE IceSword.EXE Iparmor.EXE KVMonxp.KXP KVSrvXP.EXE KVWSC.EXE Navapsvc.EXE Nod32kui.EXE nod32krn.EXE KRegEx.EXE Frameworkservice.EXE Mmsk.EXE Ast.EXE WOPTILITIES.EXE Regedit.EXE AutoRunKiller.EXE VPC32.EXE VPTRAY.EXE ANTIARP.EXE KASARP.EXE RAV.EXE kwatch.EXE kmailmon.EXE kavstart.EXE KAVPFW.EXE Runiep.EXE GuardField.EXE GFUpd.EXE Rfwstub.EXE rfwmain.EXE RavStub.EXE rsnetsvr.EXE ScanFrm.EXE RsMain.EXE Rsaupd.EXE rfwProxy.EXE rfwsrv.EXE msconfig.EXE SREngLdr.EXE ArSwp.EXE RSTray.EXE QQDoctor.EXE TrojanDetector.EXE Trojanwall.EXE TrojDie.KXP PFW.EXE HijackThis.EXE AutoRun.EXE KPfwSvc.EXE kissvc.EXE kav32.EXE
- Изменяет значение ключа системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] "CheckedValue" = "2"
Это приводит к отключению отображения скрытых файлов и папок.
- Удаляет ключи системного реестра:
[HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal]
"{4D36E967-E325-11CE-BFC1-08002BE10318}"
[HKLM\System\CurrentControlSet\Control\SafeBoot\Network]
"{4D36E967-E325-11CE-BFC1-08002BE10318}"
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"360Safetray"
"360Safebox"
"KavStart"
"vptray"
NOD32 Process Mcafee Firewall virus anti worm SREng
то это окно будет закрыто, а процесс, соответствующий окну, завершен.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи Диспетчера задач завершить троянский процесс.
- При помощи Диспетчера задач завершить процесс "IEXPLORE.EXE".
- Удалить ключи системного реестра (как работать с реестром?):
- Восстановить исходное значение ключа системного реестра:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
- Сохранить файл
- как
- Очистить каталог:
[HKLM\Software\Microsoft\Windows\CurrentVersion\policies\explorer\run] "internetnet" = "%System%\spoolsv.exe" [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<Application name>] "debugger"= "%System%\dllcache\spoolsv.exe"
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] "CheckedValue" = "2"
%System%\spoolsv.exe %System%\dllcache\spoolsv.exe ZGXZ.PIF <имя зараженного раздела>:\AUTORUN.INF C:\Program Files\ccdd.pif C:\Documents and Settings\1ts.pif C:\Documents and Settings\2ts.pif C:\Documents and Settings\3t.pif C:\Documents and Settings\4.pif C:\Documents and Settings\5.pif C:\Documents and Settings\6ts.pif C:\Documents and Settings\7.pif C:\Documents and Settings\8.pif C:\Documents and Settings\9ts.pif C:\Documents and Settings\10ts.pif
c:\tm.sa
%System%\spoolsv.exe
%Temporary Internet Files%
