TROJAN.WIN32.MIDGARE.UIK ОН ЖЕ WIN32.HLLW.AUTORUNER.4065 ИЛИ ДЕТСКОЕ ИСПОЛНЕНИЕ ЧЕРВЯ.

Недавно при профилактическом осмотре флешки своего отца, наткнулся на такого зверька :) Искал описание в нэте так и не нашел, сигнатуры в АВ компаниях есть, а вот описания нет :) Решил я написать свое. Поставил на 6 гигобайтный винчестер WinXP SP3 Высадил зверюгу на рабочий стол, и запустил :) Исследование началось :)
После запуска червя, через минуту на разделах жесткого диска появились нулевые файлы (пустые) с атрибутами скрытый, системный под названием "khr" я так понял червь использует их как метки. На флеш накопителе присоедененном в это время к компьютеру, в корне появляется два новых друга, файл с расширением .EXE под случайным названием, в моем случае vskjwg.exe и файл запуска вируса Autorun.inf с таким содержанием :

;lbRdhnpGOsmGAIuDqxMFqRfhiIokdetbnUlltPynqPqErpCpnvwdKgtsvXjAoHV
[AutoRun]
;nWDGCPBLjv
open=vskjwg.exe
;xrCVPWvaox
shell\open\Command=vskjwg.exe
;UBxzqiWYHYMgWreOmvxclcJQRLHWIZUNIXNeY
shell\open\Default=1
;45F27A231FB0BAE1D81F012F0B31BEDF8FFB0FECB727D2C7BFC81571
;ABsMSoHWZyxwuyWZsygVrvCSPFMvIYkPXGJdhyTSPNFSrRuZPet
shell\explore\Command=vskjwg.exe
;sBbuKjWFcGgZRCvRBHcWjLlzJHHBTWxgbQPhrPmKQzybXyocaOMQ

если убрать весь мусор то получится вот такая инструкция Autorun.inf

[AutoRun]
open=vskjwg.exe
shell\open\Command=vskjwg.exe
shell\open\Default=1
shell\explore\Command=vskjwg.exe

При открытии флеш накопителя двойным щелчком (если не отключен автозапуск со сьемных носителей) открывается второе окно эксплорера, вместо того в котором открывали. Это говорит о том что сработал файл запуска вируса Autorun.inf и соответственно запустил сам вирус vskjwg.exe На разделы жестких дисков червь не копируется, так как в корне каждого раздела жесткого диска имеются файлы метки "khr" нулевого содержания. Далее червь копирует свою копию в директорию system32 под названием csrcs.exe с атрибутами скрытый системный, и файл запуска червя Autorun.inf также с атрибутами скрытый системный(одно не понятно какого сцуко хрена в папке system32 файл запуска Autorun.inf делает?) Далее этот засранец прописывается в реестр для успешного запуска вместе с операционной системой.
Запуск себе обеспечивает данный зверь в ветках реестра по адресам: HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe csrcs.exe т.е. запускается вместе с эксплорером, соответственно это значение нужно изменить на, просто Explorer.exe но только после лечения :) После того как мы найдем все вредоносные .EXE :) тогда начнем и реестр чистить :)
И второй ключ запуска HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run, csrcs.exe

В процессах появляется новый процесс, "csrcs.exe" запущеный от текущей учетной записи, и очень созвучно похожий на системный процесс под названием "csrss.exe" Данный процесс на тестируемом компьютере (мать-i815 ЦП Celeron-800 Mhz :) ) загружает ЦП каждые 2 секунды от 30-75% мощности. Кстатии этот процесс, просто снимается в диспетчере задач и не запускается, соответственно до следуйщего перезапуска системы, но до следуйщего перезапуска он сцуко уже не доживет :) Также данный червячок, делает показ скрытых системных файлов невозможным, НО! если в настройках папки по адресу Сервис>Свойства папки>вкладка Вид>"ВКЛЮЧИТЬ ПОКАЗ СКРЫТЫХ СИСТЕМНЫХ ФАЙЛОВ" "ОТОБРАЖАТЬ СОДЕРЖИМОЕ СИСТЕМНЫХ ПАПОК" отжать галку "СКРЫВАТЬ ЗАЩИЩЕННЫЕ СИСТЕМНЫЕ ФАЙЛЫ" нажать "Применить" "ОК" и не выходя из этой папки или раздела диска, будут видны скрытые системные файлы , но как только Вы выходите из раздела или папки, настройки становятся обратно на запрет показа скрытых файлов. Считаю глупо, с помощью реестра можно было бы вообще запретить показ скрытых файлов при любых настройках, но статья не о том :)

Файл червя достаточно велик 420,518 kb. что возможно означает что он работает с сетью.
Так и окозалось :) При подключении к сети и выходе в интернет данный зверек начинает активно так подключаться по TCP к следуйщим IP и портам:

66.186.60.146 к порту 80
78.159.124.139 к порту 80
72.233.89.200 к порту 80

66.186.60.146 US UNITED STATES CALIFORNIA ORANGE VPLS INC. D/B/A KRYPT TECHNOLOGIE

78.159.124.139 RU RUSSIAN FEDERATION - - RUSTELEKOM LLC. OBSHESTVO S OGRANICHENNOJ OTVETSTVENNOSTJU RUSTELEKOM

72.233.89.200 US UNITED STATES TEXAS PLANO LAYERED TECHNOLOGIES INC

ЛЕЧЕНИЕ:
Отключаем восстановление системы!

Отключаем сеть! (выдергиваем сетевой кабель из карты)

Удаляем все точки восстановления системы.

Качаем с сайта Кассперского архив с файлом реестра, для отключения автозапуска с флешек Sality_RegKeys.zip В архиве вам нужен файл под названием Disable autorun.reg
нажимаем на него двойным кликом, и соглашаемся с внесением изменений в реестр системы, нажатием на кнопку ОК После этого обязательно перезагружаем систему!!!

Присоеденяем флешки к компьютеру, которые как Вы думаете могут быть заражены.

Завершаем в ручную в диспетчере задач процесс csrcs.exe Иначе не даст себя удалить в папке \system32

Удаляем файлы csrcs.exe и Autorun.inf по адресу Windows\system32\
так как отображение скрытых системных файлов заблокировано, создаем RARовский архив например на рабочем столе, и открываем в нем папку system32 находим вышеуказанные файлы и в нем удаляем.

С того же архива заходим на каждый раздел жесткого диска и удаляем файлы под названием "khr"

Далее открываем с архива флешку, и смотрим ее на предмет зараженности.

Ищем и удаляем в корне флеш накопителя файл запуска вируса Autorun.inf
Ищем и удаляем в корне флеш накопителя файл наподобии vskjwg.exe (случайное имя.ехе)

Правим ключи реестра которые изменил червь:

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe csrcs.exe на

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe (нажимаем на имени Shell правой клавишей, кликаем "Изменить" и оставляем в поле только значение Explorer.exe) далее

HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run, csrcs.exe
Удаляем в каталоге Run ключ запуска csrcs.exe

Если не почистить реестр, будут кумарить сообщения при старте системы что то типа "СИСТЕМЕ НЕ УДАЛОСЬ НАЙТИ ФАЙЛ CSRCS.EXE"

И последний штрих, восстанавливаем отображение скрытых и системных файлов:
Качаем утилиту AVZ 4.3
Запускаем ее, и далее идем по пути >файл>восстановление системы>ставим галочку на пункте №8 и нажимаем "Выполнить отмеченные операции" дожидаемся окончания выполнения задачи, закрываем программу.
Перезагружаем операционную систему.
Создаем новую точку восстановления системы.
Все система чиста!

Профилактика:
Просто скачайте и установите в систему и на флеш накопители мою последнюю версию комплексной защиты против вирусов типа Autoruner ЗДЕСЬ ЗДЕСЬ и ЗДЕСЬ
К слову данный троян, ломает зубы об мою защиту, атрибуты скрытый системный снимает с защитной папки Autorun.inf а вот удалить ее не может :) копирует на флешку только себя, но толку? Заразить он уже не сможет систему без файла запуска, он будет просто тихонечко лежать до ближайшего антивируса :)

Профилактика для скептиков ЗДЕСЬ :)


© Нестеров Игорь Владимирович 2009 год