TROJAN.WIN32.AUTOIT.dr (KASPERSKY) ОНЖЕ WIN32.HLLW.AUTORUNER.2691 (Dr.WEB) ИЛИ ОЧЕРЕДНОЙ CSRCS.EXE

Trojan.Win32.Autoit.dr (Kaspersky)
Win32.HLLW.Autoruner.2691 (DrWeb)
Win32/Autoit.DW (NOD32)
Вес 443 КБ (453 724 байт)
MD5 d2c895094e5fb3cca195ef1ac9d2465c
Упаковщик UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]


При запуске с инфицированной флешки червь копирует свои файлы в директорию System32\ с атрибутами скрытый системный:

csrcs.exe
autorun.inf

C:\Documents and Settings\All Users\Документы\

(random_name.exe) vupohn.exe

Метка вируса, файл нулевой длинны "khq" с атрибутами скрытый системный.


Запрещает отображение скрытых файлов.

Запуск с системой обеспечивает себе с помощью ключа реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell Explorer.exe csrcs.exe

Создает файлы метки в корне локальных дисков, файлы нулевой длинны (пустые) под названием "khq"

Расспостраняется по сети посредством сканирования удаленных хостов и наличия на них открытого tcp\445 порта.













При присоеденении "чистого" USB Flash-накопителя, копирует свое тело и файл запуска (random_name.exe) vupohn.exe и Autorun.inf в корень USB-Flash

Инструкция автозапуска червя Autorun.inf:

************************************************************************

;mXpYfEQUwdKBttgvjkFhKvsULyX
[AutoRun]
;NPsmncvgzTJyRupJEokYetVlaBmeEqFypoIo
open=vupohn.exe
;CavACCePgwwWaWWInPpJDFpkOpOQg
shell\open\Command=vupohn.exe
;KFLJhzZFykRMxZXGlcTjHIOApFwYvJfaxALtYGd
shell\open\Default=1
;45F27A231FB5BAE1D81F01290841BED88E8F0F9AB727D2C7BFC81571
;sDCckNLMacnSONhKQrsbavhOKwnuBhBGhiMTgCJJqmCrccPlABXMiyRGJqRBZMxglSG
shell\explore\Command=vupohn.exe
;siGDcPSwxsgsaZIIrSEIFjCXfZqBcgluRCpFHwnFGCvKvEJnLePSlBtqMzobfWCDLAtyW

**********************************************************************

Если убрать мусор то получается вот такая инструкция автозапуска:

[AutoRun]
open=vupohn.exe
shell\open\Command=vupohn.exe
shell\open\Default=1
shell\explore\Command=vupohn.exe


ЛЕЧЕНИЕ:

1) Отключаем сеть! (выдергиваем сетевой кабель из карты)

2) Отключаем восстановление системы идем по пути ПУСК>СВОЙСТВА МОЙ КОМПЬЮТЕР>ВКЛАДКА ВОССТАНОВЛЕНИЕ СИСТЕМЫ>СТАВИМ ГАЛКУ НА "ОТКЛЮЧИТЬ ВОССТАНОВЛЕНИЕ СИСТЕМЫ НА ВСЕХ ДИСКАХ" нажимаем ОК

3) Завершаем в ручную в "Диспетчере задач" процесс "csrcs.exe" Иначе не даст себя удалить в папке \system32














4) Так как отображение скрытых файлов заблокированно червем, нужно это дело восстановить. Качаем AVZ 4.3

Запускаем ее, далее кликаем > файл>восстановление системы>ставим галочку на пункте №8 и нажимаем "Выполнить отмеченные операции" дожидаемся окончания выполнения задачи, закрываем программу.

Отображение скрытых файлов восстановлено.

5) Далее заходим в любую папку, кликаем сервис > свойства папки > вкладка "Вид" ставим галку на "Отображать содержимое системных папок" > убираем галку на "Скрывать защищенные системные файлы" > ставим галку на "Показывать скрытые файлы и папки" > убираем галку на "Скрывать расширения для зарегестрированных типов файлов" и нажимаем "ОК" Теперь мы видим срытые файлы и системные папки.

6) Идем по пути Пуск>Мой компьютер>Локальный диск С:\WINDOWS\system32\
Находим и удаляем файл червя csrcs.exe (не перепутайте с csrss.exe это системный файл!!)

















7) Удаляем все точки восстановления системы (Загружаемся из под Windows Live CD Качаем например Hiren's BootCD 9.8 в нем есть Windows Live CD При загрузке Hiren'sa его можно выбрать для запуска, на мой взгляд самый быстрый. После загрузки Windows Live CD заходим в корень каждого локального диска в папку "System Volume Information" и полностью удаляем содержимое папки)

8) Далее качаем файл реестра, для отключения автозапуска с флешек ЗДЕСЬ Нажимаем на него двойным кликом, и соглашаемся с внесением изменений в реестр системы нажатием на кнопку "ОК" После этого обязательно перезагружаем систему!!!

9) Присоединяем флешки к компьютеру, которые как Вы думаете могут быть заражены.

10) Открываем флешку, и смотрим ее на предмет зараженности.

Ищем и удаляем в корне флеш накопителя файл запуска вируса "Autorun.inf"

Ищем и удаляем в корне флеш накопителя файл наподобии "vupohn.exe" (случайное имя.ехе)

11) Заходим на каждый раздел жесткого диска и удаляем файлы под названием "khq"

12) Далее правим ключи реестра которые изменил червь:

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe csrcs.exe на

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe (нажимаем на имени Shell правой клавишей, кликаем "Изменить" и оставляем в поле только значение Explorer.exe)

Если боитесь страшного слова "СИСТЕМНЫЙ РЕЕСТР" можете воспользоваться написанным мною скриптом, для восстановления изменений в реестре сделанных червем, скачать ЗДЕСЬ

Если не почистить реестр в ручную или не исправить ключ реестра с помощью скрипта то при каждом запуске Windows система будет выдавать сообщение






13) Включаем восстановление системы.

14) Перезагружаем операционную систему.

Все система чиста!

Профилактика:

Просто скачайте и установите в систему и на флеш накопители мою последнюю версию комплексной защиты против вирусов типа Autoruner ЗДЕСЬ

К слову данный червь, ломает зубы об мою защиту! атрибуты скрытый системный снимает с защитной папки Autorun.inf а вот удалить ее не может :) копирует на флешку только себя, но толку? Заразить он уже не сможет систему без файла запуска, он будет просто тихонечко лежать до ближайшего антивируса :)

Профилактика для скептиков относительно моей защиты ЗДЕСЬ :)

© Нестеров Игорь Владимирович 2009 год

CSRCS.EXE ОНЖЕ PACKED.WIN32.KLONE.bj (Kaspersky) ОНЖЕ WIN32.HLLW.AUTOHIT.3438 (DrWeb)

Win32/Packed.Autoit.Gen NOD32
Packed.Win32.Klone.bj Kaspersky
Win32.HLLW.Autohit.3438 DrWeb

Вес 484 КБ (495 410 байт)
MD5 b9768f238205fc347a914562762cd27f
Упаковщик UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo


При запуске с инфицированной флешки червь копирует свои файлы в директорию System32\ с атрибутами скрытый системный:

csrcs.exe
autorun.i
autorun.in

C:\Documents and Settings\All Users\Документы\

(random_name.exe) uawdmt.exe

Метка вируса, файл нулевой длинны "kht" с атрибутами скрытый системный.

Запрещает отображение скрытых файлов.

Запуск с системой обеспечивает себе с помощью ключа реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell Explorer.exe csrcs.exe

Создает файлы метки в корне локальных дисков, файлы нулевой длинны (пустые) под названием "kht"

При наличии соединения с "Internet" связывается по следующему адресу:

Порт жертвы_________IP_________Удаленный порт
___2404________72.233.89.200 ____________80________

72.233.89.200 - US UNITED STATES US TEXAS PLANO LAYERED TECHNOLOGIES INC

Ссылка на описание IP

Расспостраняется по сети посредством сканирования удаленных хостов и наличия на них открытого tcp\445 порта.

При присоеденении "чистого" USB Flash-накопителя, копирует свое тело и файл запуска (random_name.exe) uawdmt.exe и Autorun.inf в корень USB-Flash

Инструкция автозапуска червя Autorun.inf:

************************************************************************
;nGIhYSFJxybXZUgAzTTIPCLCIPdQJtnGTdRrVRRxZFFdCvfGrHovnoZmA
;avfzViKVKrqDjrblAtaISvvQCGKwNxgMKFUZuBoFfewDQUEULebsABNhamzMiYidXVbcxKohg
;jteFHSalaBBxLniLxYKsRJVoQjThCnZjHhiJvzJWJBMUet
;SleBPbOpmCZMiQNYhBRYMyoUcj
[AutoRun]
;NtgFwopIIHLrGwnMWDiwTbxkOiDdsmUubBFayrFZFgrpgpzAUFApYmqWGGwruoczJIBz
;fbvpvmLmpleOCBKMSZQJxxWVlLnjDmRRQP
;xwfJnHQjYyGrRPlaSpVOUmSPczrXcmgnnlClrTKnoTJCXgBryLUOfhjGbUENV
;45F27A231FB2BAE1D81E002D083DBEAA8E8A0EE9B727D2C7BFC81571
;NQHYzB
open=uawdmt.exe
;bMxdnLDRIKtqkRAHIeUFagIcAsLlKyIBFdyYpRBnPkTPDWRJaSZKxQAYazTQcQRr
;vsYg
;TqGhBsLBrStLGCtbeyyOVMpWWHdugbvDcYUnsfFLQYuqs
Icon=%system%\shell32.dll,7
UseAutoPlay=1
action=Open Drive
;KqDKAXtQKajxUqCRPKrtxkevrcWLFuCWImQLigbV
;DhPZGrzvlONUwVCWFakXdsNzBilsmEWoOQTaQBiPVTALhDQIaeWqWIE
;mYaeuOdjVGCzavNk
action= @uawdmt.exe
;NolrtTegEJquwyWhemNdhMKKHUOL
;huozspcPTFrxsfIFiOLAcikTCPRQtYCXDAxwlwxskdeyPE
shell\open\Command=uawdmt.exe
;cWupueuWglMeftJKwSRowqRnWN
;sMxiozuaDpZQfGQMWBRktEAIZhlqKUxyGwgoXFqhmCuwtGOoEicTAmIqZVqgbrjssViFhNw
;OaLZpYJEfqYrOzAMAShqYhGOCUYhpfjTFlVdjOlQKPXMzOtaqfLreFwplqoe
;GEfxxrYjboRMftpZgOLpSeSfNqdYDPWNOfqOilc
;bnxttuoleLlFCnCyvsOt
;MxbSXjzuGzlWlfbWktFoRF
shell\open\Default=1
shell\explore\Command=uawdmt.exe
;xayyEXiYrohDOELQsqKnLjpPsnhEHnOcOMbGNYjOm
**********************************************************************

Если убрать мусор то получается вот такая инструкция автозапуска:

[AutoRun]
open=uawdmt.exe
Icon=%system%\shell32.dll,7
UseAutoPlay=1
action=Open Drive
action= @uawdmt.exe
shell\open\Command=uawdmt.exe
shell\open\Default=1
shell\explore\Command=uawdmt.exe

Интересная особенность:

Если запустить файл червя на выполнение например на рабочем столе, то инсталляция в систему не произойдет, а если запустить файл червя на самой флешке, то начнется инсталляция червя в систему. Я так понимаю некая система безопасности (что б не сразу вычислили :) )

ЛЕЧЕНИЕ:

1) Отключаем сеть! (выдергиваем сетевой кабель из карты)

2) Отключаем восстановление системы идем по пути ПУСК>СВОЙСТВА МОЙ КОМПЬЮТЕР>ВКЛАДКА ВОССТАНОВЛЕНИЕ СИСТЕМЫ>СТАВИМ ГАЛКУ НА "ОТКЛЮЧИТЬ ВОССТАНОВЛЕНИЕ СИСТЕМЫ НА ВСЕХ ДИСКАХ" нажимаем ОК

3) Завершаем в ручную в "Диспетчере задач" процесс "csrcs.exe" Иначе не даст себя удалить в папке \system32














4) Так как отображение скрытых файлов заблокированно червем, нужно это дело восстановить. Качаем AVZ 4.3

Запускаем ее, далее кликаем > файл>восстановление системы>ставим галочку на пункте №8 и нажимаем "Выполнить отмеченные операции" дожидаемся окончания выполнения задачи, закрываем программу.

Отображение скрытых файлов восстановлено.

5) Далее заходим в любую папку, кликаем сервис > свойства папки > вкладка "Вид" ставим галку на "Отображать содержимое системных папок" > убираем галку на "Скрывать защищенные системные файлы" > ставим галку на "Показывать скрытые файлы и папки" > убираем галку на "Скрывать расширения для зарегестрированных типов файлов" и нажимаем "ОК" Теперь мы видим срытые файлы и системные папки.

6) Идем по пути Пуск>Мой компьютер>Локальный диск С:\WINDOWS\system32\
Находим и удаляем файл червя csrcs.exe (не перепутайте с csrss.exe это системный файл!!)

















7) Удаляем все точки восстановления системы (Загружаемся из под Windows Live CD Качаем например Hiren's BootCD 9.9 в нем есть Windows Live CD При загрузке Hiren'sa его можно выбрать для запуска, на мой взгляд самый быстрый. После загрузки Windows Live CD заходим в корень каждого локального диска в папку "System Volume Information" и полностью удаляем содержимое папки)

8) Далее качаем файл реестра, для отключения автозапуска с флешек ЗДЕСЬ Нажимаем на него двойным кликом, и соглашаемся с внесением изменений в реестр системы нажатием на кнопку "ОК" После этого обязательно перезагружаем систему!!!

9) Присоединяем флешки к компьютеру, которые как Вы думаете могут быть заражены.

10) Открываем флешку, и смотрим ее на предмет зараженности.

Ищем и удаляем в корне флеш накопителя файл запуска вируса "Autorun.inf"

Ищем и удаляем в корне флеш накопителя файл наподобии "uawdmt.exe" (случайное имя.ехе)

11) Заходим на каждый раздел жесткого диска и удаляем файлы под названием "kht"

12) Далее правим ключи реестра которые изменил червь:

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe csrcs.exe на

HKEY_LOCAL_MACHINE\SOFWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\
Имя Shell тип REG_SZ значение Explorer.exe (нажимаем на имени Shell правой клавишей, кликаем "Изменить" и оставляем в поле только значение Explorer.exe)

Если боитесь страшного слова "СИСТЕМНЫЙ РЕЕСТР" можете воспользоваться написанным мною скриптом, для восстановления изменений в реестре сделанных червем скачать ЗДЕСЬ

Если не почистить реестр в ручную или не исправить ключ реестра с помощью скрипта то при каждом запуске Windows система будет выдавать сообщение






13) Включаем восстановление системы.

14) Перезагружаем операционную систему.

Все система чиста!

Профилактика:

Просто скачайте и установите в систему и на флеш накопители мою последнюю версию комплексной защиты против вирусов типа Autoruner ЗДЕСЬ

К слову данный червь, ломает зубы об мою защиту! атрибуты скрытый системный снимает с защитной папки Autorun.inf а вот удалить ее не может :) копирует на флешку только себя, но толку? Заразить он уже не сможет систему без файла запуска, он будет просто тихонечко лежать до ближайшего антивируса :)

Профилактика для скептиков относительно моей защиты ЗДЕСЬ :)

© Нестеров Игорь Владимирович 2009 год

SYSTEM_V.EXE ИЛИ WORM.WIN32.AUTORUN.acm

Worm.Win32.AutoRun.acm (Kaspersky)
Win32.HLLW.Autoruner.767 (DrWeb)
Win32/AutoRun.NS (NOD32)

Вес червя 128 КБ (131 072 байт)
Упаковщик UPX 2.90
Протектор Yoda Crypter
MD5-сумма f9426d1f7bc4e2f33317c6aa6a34c5db
Программа написана на Delphi
Год написания программы 2007


При первом запуске червя с инфицированной флешки, червь копирует следующие файлы в директории системы

\system32

system_v.exe - Win32.HLLW.Autoruner.937 (Dr.Web) (отвечает за монторинг, копирование файла Autorun.inf и файла червя в корень локальных дисков и флэшек)
oeminf.exe - Trojan Spirt (Dr.Web)
oeminfo.exe - Trojan Spirt (Dr.Web)
oeminfo.ini - червь подменяет системный файл своим и меняет в нем информацию (сведения о производстве и поддержке ОС)
rmv.exe - Win32.HLLW.Autoruner.767 (Dr.Web) (основное тело червя)
rmv.txt - Win32.HLLW.Autoruner.767 (Dr.Web) (основное тело червя с расширением файла .txt)

\windows\temp\

system_v.exe - Win32.HLLW.Autoruner.937 (Dr.Web) (отвечает за мониторинг и копирование Autorun.inf и файла червя "system_v.exe" в корень жестких дисков и флэшек)

Также червь копирует следующие файлы в корень всех локальных дисков и USB-Flash накопителей.
system_v.exe - Win32.HLLW.Autoruner.767 (Dr.Web) (основное тело червя)
Autorun.inf - файл запуска червя












Червь обеспечивает себе запуск каждый раз со стартом системы с помощью ключа реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit = userinit.exe,C:\WINDOWS\system32\rmv.exe

В диспетчере задач в процессах появляется два процесса "system_v.exe" (отвечают за мониторинг и копирование Autorun.inf и файла червя "system_v.exe" в корень жестких дисков и флэшек)



















Они просто снимаются в диспетчере, и после их завершения не возобновляются, соответственно до следующего перезапуска системы или открытия локального диска в проводнике (если включен автозапуск при его открытии в проводнике запускается тело червя)

Интересная особенность червя заключается в том что если на флешке нет ни одной папки, то червь не заражает флешку, но как только на флешке появляется хоть одна папка (копируется или создается) он сразу копирует свои файлы Autorun.inf и system_v.exe на флеш. Если же снова удалить папку и файлы червя с флешки, то червь не заражает флешку (не копирует свои файлы Autorun.inf и system_v.exe на флеш) Вот такие причуды автора червя :) Интересно еще и то что червь не делает запрет на просмотр скрытых файлов и папок. Его файлы видны в корне флешки и локальных дисков, если просто включить в сервисе папки, показ скрытых файлов и папок и убрать галку скрывать защищенные системные файлы.

Червь перезаписывает системный файл по адресу \windows\system32\oeminfo.ini Данный файл отображает сведения о "производстве и поддержке ОС" Путь Пуск> свойства Мой клмпьютер > вкладка "Общие" Весьма самоуверенно, такое детство может написать только ребенок, ряды вирмейкеров очень молодеют.

















































Дело в том что даже после полного лечения системы, данная неприятная запись остается. Антивирус удаляет червя и все его компоненты, но такие вот "неприятные" сведения о производстве и поддержке ОС остаются. Что не может не раздражать! Поэтому я написал утилиту для лечения от данного червя, которую можно скачать здесь Утилита не только полностью удаляет червя из системы и флеш накопителей, но и убирает не лицеприятную запись о "производстве и поддержке ОС"
Для защиты и профилактики от Autorun вирусов используйте мою комплексную защиту дабы Autorun черви и вирусы не имели больше никакого шанса заразить вашу систему!

Лечение:

В общем то на момент написания этой статьи, этого червя "на ура" лечат утилиты AVPTool (Касперски) и CureIT! (Dr.Web) С этим червем за 2 секунды справляется и скрипт который написал я, специально для него. Одну из этих утилит можно сразу на зараженном компьютере скачать, и запустить с рабочего стола. Первая, вторая и третяя утилита с лечением справляется очень хорошо, находя при этом все состовляющие червя. Единственное НО! Заключается в том что ни одна из антивирусных утилит (AVPTool и CureIT!) не убирает "гадости" написанные червем в сведениях о "производстве и поддержке ОС" которые я показал выше в скриншотах. С этим положением я был категорически не согласен! И написал скриптик который это все очень быстро правит. Его можно скачать ЗДЕСЬ

Ну, а если есть те, кто хочет "забить" червячка в ручную для них я напишу ниже, как это сделать быстро и без пыли. Как говорится, для тех кто не понял как.

1) Запускаем диспетчер задач, рубим два процесса под названием "system_v.exe"

2) Создаем на рбочем столе пустой RARовский архив ( чтоб видеть скрытые системные файлы, или же можно разрешить просмотр скрытых системных файлов в свойствах папки Этот червь не блокирует их показ)

3) Открываем архив и через него идем в папочку С:\Windows\system32\

4) Ищем и удаляем следующие файлы

system_v.exe
oeminf.exe
oeminfo.exe
oeminfo.ini
rmv.exe
rmv.txt

5) Через тот же архив открываем папочку С:\windows\temp\

6) Удаляем файлик "system_v.exe"

7) Далее через тот же пустой архив заходим на каждый локальный диск и в корне каждого,
ищем два файла:

system_v.exe
Autorun.inf

Нашли? Удаляем.

8) Присоеденяем все ваши флешки к компьютеру, и каждую из них по очереди открываем через тот же наш пустой архив, и ищем и удаляем файлики

system_v.exe
Autorun.inf

9) Создаем текстовый документ и туда копируем строки

[General]
Manufacturer=.

Сохраняем этот текстовый документ, меняем его название на oeminfo и даем разширешение файла .ini

10) Копируем этот файл в папку С:\Windows\system32\

11) Далее нам необходимо убрать, вернее поправить один ключик реестра, который нам изменил червь.

12) Создаем текстовый документ и копируем туда строку

Reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d userinit.exe, /f

Сохраняем текстовый документ, и меняем его расширение вместо .TXT на .BAT
Запускаем наш батник двойным счелчком.

13) Все! Система чиста как в первозданном виде!! )))

© Нестеров Игорь Владимирович 2009 год

WORM.WIN32.AUTORUN.acm (KASPERSKY) WIN32/AUTORUN.NS (NOD32) WIN32.HLLW.AUTORUNER.767 (DR.WEB) ИЛИ БЕСПЛАТНАЯ УТИЛИТА ДЛЯ ЛЕЧЕНИЯ!

Сегодня я написал утилиту для лечения ОС WINDOWS и USB-Flash накопителей от червя

Win32.HLLW.Autoruner.767 (Dr.Web)
Worm.Win32.AutoRun.acm (Kaspersky)
Win32/AutoRun.NS (NOD32)

Данная утилита полностью лечит систему и очищает флешки от вышеуказанного червя. Попутно готовлю статью описания и лечения от данного зверя которую скоро опубликую в блоге. Решил первым делом выложить утилиту, так как понимаю что у многих с ним могут быть проблемы. Утилита не только полностью удаляет червя из системы и флеш накопителей, но и убирает не лицеприятную запись о "производстве и поддержке ОС" сделанную червем. Данную утилиту можно скачать ЗДЕСЬ

TROJAN-DOWNLOADER.WIN32.VB.hkq ОН ЖЕ WIN32.FLYSTUDIO.NNJ

В последнее время все чаще на флешках клиентов (да и на работе) я начал встречать
Trojan-Downloader.Win32.VB.hkq (Кассперски) он же
Win32.HLLW.Autoruner.2855 (Dr.Web) он же
Win32.FlyStudio.NNJ (NOD32)

Не знаю как по миру или СНГ, но в городе котором я живу он распостранился достаточно сильно. Решил поискать толковое описание на него, но не тут то было! Как всегда в сигнатурах антивирусных компаний он есть, а вот толкового описания как всегда нет, и появится оно как всегда, наверно через пару лет :)

Попутно в сети видел даже такие бредовые названия постов по типу "Троян преобразующий папки в .ехе" :) Вот и решил я в очередной раз сделать свое описание :) думаю получится ничем не хуже чем у антивирусных компаний, хотя конечно же, судить вам мои читатели :) Установил я на тестовый винчестер Windows SP-3 высадил зверюгу на рабочий стол, запустил его, итак приступим...
Сразу же после его запуска мне высветилась таблица проводника






Думаю в чем загвоздка, и тут меня осенило :) Создал рядом с файлом трояна каталог (папку) с таким же названием, и снова нажал на трояна, открылся созданный каталог :) принцип понемногу мне начал становится понятен. Подключил флешку. Через минуту троян скрыл некоторые мои папки, и создал свои копии ".EXE" с иконкой папки, и названием моих папок, которые он скрыл. При нажатии на файл трояна с иконкой папки "Фото.exe" открылась моя скрытая папка с фотографиями под названием "Фото" :) Теперь принцип роботы и заражения мне стал полностью понятен!

Обьяснение принципа работы трояна

Заражая флешку, он скрывает например папку под названием "Фото" с фотографиями пользователя, создает свой файл трояна под названием "фото.exe" когда пользователь нажимает на "фото.exe" (думая что он нажимает на свою папку) троян открывает папку пользователя под названием "фото" которую он скрыл. Таким образом пользователь не подозревает о подвохе и заражении системы. По умолчанию насколько Вы знаете показ срытых файлов и расширения для зарегистрированных типов файлов в Windows скрыт, поэтому пользователь нажимая на файл трояна с иконкой папки и названием папки пользователя, ни о чем не подозревает (нажимая на то что мы привыкли видеть папкой мы всегда как правило привыкли что это папка, а не ".exe" файл логично? Тем более с тем названием которое мы дали ей сами)

Далее я приведу техническое описание о работе данного трояна, лечении ОС и флешки.

При запуске файла трояна он сразу копируется в директорию \ system32 с атрибутами скрытый, по адресу C:\Windows\system32\ название файла трояна XP-C8544A34.EXE или XP-9ED95EA3.EXE или XP-9B941947.EXE или XP-9FB9279E.EXE Названия случайны, могут отличаться, но! На подобии этих! Смотрите внимательно! Например: XP-C8544A34.EXE Т.Е. начало XP- далее случайный набор 8 ми латинских букв и цифр C8544A34 и расширение файла .EXE Далее для примера, файл трояна я буду называть XP-C8544A34.EXE потому как он под таким названием скопиравался мне в систему. Хочу сказать что в папке \system32 такого типа названия файлов ".exe" нет! Поэтому не бойтесь удалить что то серьезное :) К тому же не забывайте, этот файл трояна имеет иконку папки! Поэтому Вы не ошибетесь при удалении, если название файла будет наподобие XP-C8544A34.EXE и иконкой папки!
Вес трояна 1,223 КБ. Флешка заражается в момент присоединения ее к инфицированному компьютеру. Троян на флешке выборочно скрывает некоторые папки пользователя, и копирует свои файлы с расширением ".exe" с иконкой папки и названием той папки которую он скрыл + троян копирует на флеш еще один скрытый файл "себя" под названием Recycled.exe который имеет иконку папки (так что не забутье удалить еще и этот файл) В диспетчере приложений появляется новый процесс:
















В реестре делает следующие изменения:

Изменения в реестре настолько не критичны, что можно даже не лезть в реестр и не удалять эти ключи. Если для вас это принципиально важно, то эти ключи можно просто убрать утилитой CCleaner или альтернативной "чистилкой " реестра, но после удаления файла трояна из системы.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\XP-C8544A34 = C:\WINDOWS\system32\XP-C8544A34.EXE


HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*\g = C:\WINDOWS\system32\XP-C8544A34.EXE


HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\EXE\a = C:\WINDOWS\system32\XP-C8544A34.EXE


HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\XP-C8544A34.EXE =


HKEY_USERS\S-1-5-21-1957994488-764733703-1060284298-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*\g = C:\WINDOWS\system32\XP-C8544A34.EXE

HKEY_USERS\S-1-5-21-1957994488-764733703-1060284298-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\EXE\a = C:\WINDOWS\system32\XP-C8544A34.EXE

HKEY_USERS\S-1-5-21-1957994488-764733703-1060284298-500\SOFTWARE\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\XP-C8544A34.EXE =

При наличии интернет соединения активно соединяется через ниже приведенные IP адреса и порты.











Запуск себя вместе с системой он себе обеспечивает с помощью ключа реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\XP-C8544A34

А также размещает свой ярлык в папке Автозагрузка.


ЛЕЧЕНИЕ

ЛЕЧЕНИЕ: ОС

1) Отключаем восстановление системы!

2) Отключаем сеть! (выдергиваем сетевой кабель из карты)

3) Удаляем все точки восстановления системы.

4) Заходим в любую папку, кликаем сервис > свойства папки > вкладка "Вид" ставим галку на "Отображать содержимое системных папок" > убираем галку на "Скрывать защищенные системные файлы" > ставим галку на "Показывать скрытые файлы и папки" > убираем галку на "Скрывать расширения для зарегестрированных типов файлов" и нажимаем "ОК"

5) Завершаем в ручную в диспетчере задач процесс XP-C8544A34.EXE Иначе не даст себя удалить в папке \system32 Возможно таких процессов будет несколько, заканчиваем все (возможен глюк в работе трояна)

6) Удаляем файл XP-C8544A34.EXE по адресу С:\Windows\system32\ (файл трояна находится почти в самом низу)

7) ОС чиста.

ЛЕЧЕНИЕ: Флеш

1) Присоединяем флешки к компьютеру, которые как Вы думаете могут быть заражены (проверяем все флешки в вашем наличии)

Троян не ставит на запрет показ скрытых файлов и запрет на просмотр расширения файла. Поэтому почистить флешку можно и в ручную (без антивирусных программ) разрешив при этом показ срытых файлов и расширения для зарегестрированных типов файлов в сервисе папки (что мы уже с вами сделали)

Чситим флешку

Далее от вас требуется только внимание, внимание, и еще раз внимание!! Никаких спец навыков и знаний!

2) Открываем флешку привычным нам способом через "Мой компьютер"
Для того что б вам было удобнее чистить флешку необходимо, когда Вы зашли на флеш, сделать в ней вид папки "таблицей"

3) Ищем полупрозрачный (скрытый) файл с названием Recycled расширением ".exe" и иконкой папки, удаляем через Shift+Del








4) Далее Ищем все полупрозрачные папки (скрытые) Записываем их название на бумажку. Как понять что это папка а не файл? Просто! Присмотритесь внимательно, напротив нее написано "Папка с файлами" :)








5) Дальше ищем файлы с иконкой папки, расширением .exe и названием тех полупрозрачных папок (скрытых) название которых Вы записали на бумагу. Нашли? удаляем их через Shift+Del Боитесь что удаляете ваши папки с информацией? Присмотритесь в конце названия "папки" идет ".exe" и надпись напротив нее "Приложение" это исполнительный файл трояна, а не папка, удаляем!











Вот так в общем то без антивирусных утилит мы с вами почистили систему и флешку от трояна. Если Вы все сделали как написано, и почистили все от заразы, можете собой гордится Вы вступили в ряды борцов с компьютерной нечистью! Если переживаете все таки, что возможно Вы что то пропустили, скачайте Dr.Web Cureit! и просканируйте полностью систему со всеми флешками что у вас есть в наличии. В настройках Dr.Web Cureit! в окне сканера поставьте точку "Полное сканирование" а в настройках сканера выставьте "инфецированное > удалить" в этом случае такую настройку можно спокойно ставить. Если у вас возникнут вопросы то воспользуйтесь в блоге новым сервисом прямой связи со мной, или оставьте комментарий на который я всегда отвечу.

© Нестеров Игорь Владимирович 2009 год