RSS-каналы
Уровень опасности: 1
Exploit.JS.Pdfka.djh
| Время детектирования | 08 апр 2011 15:37 MSK |
| Время выпуска обновления | 12 апр 2011 11:46 MSK |
| Описание опубликовано | 24 июн 2011 18:23 MSK |
Деструктивная активность
Рекомендации по удалению
Технические детали
Программа-эксплоит, использующая для своего выполнения на компьютере пользователя уязвимости в продуктах Adobe – Reader и Acrobat. Файл представляет собой XFA (XML Forms Architecture) форму, которая содержит в себе вредоносный сценарий языка Java Script. Имеет размер 19376 байт.
Деструктивная активность
Инициализация и запуск вредоносного содержимого XFA формы происходит после открытия специально созданного зараженного PDF документа, который содержит в себе данную форму. В качестве обработчика события "initialize" в XFA форме, используется обфусцированный вредоносный сценарий Java Script. После снятия обфускации, вредонос использует уязвимость, которая возникает из-за переполнения буфера при некорректной обработке аргументов в "libtiff.dll" (CVE-2010-0188), для выполнения загрузки файла, который располагается по ссылке:
http://r***v.cz.cc/d.php?f=243&e=6<повторяющиеся_символы_в_неизвестной_кодировке >
Затем вредонос сохраняет файл в каталог хранения временных файлов браузера:
%Temporary Internet Files%\<имя_временного_файла>
После успешного сохранения - запускает загруженный файл на исполнение. На момент создания описания ссылка не работала. Уязвимыми являются продукты Adobe Reader и Acrobat 8 (до версии 8.2.1) и 9 (до версии 9.3.1).
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Очистить каталог Temporary Internet Files, содержащий инфицированные файлы(Как удалить инфицированные файлы в папке Temporary Internet Files?):
%Temporary Internet Files%
- Выполнить обновление продуктов Adobe Reader и Acrobat или установить обновления:
http://www.adobe.com/support/security/bulletins/apsb10-07.html
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Программы, в которых содержатся данные или исполняемый код, позволяющие использовать одну или несколько уязвимостей в программном обеспечении на локальном или удаленном компьютере с заведомо вредоносной целью.
Обычно эксплойты используются злоумышленниками для проникновения на компьютер-жертву с целью последующего внедрения туда вредоносного кода (например, заражение всех посетителей взломанного веб-сайта вредоносной программой). Также эксплойты интенсивно используются программами типа Net-Worm для проникновения на компьютер-жертву без участия пользователя.
Широко известны также так называемые программы-Nuker'ы, которые отправляют на локальный или удаленный компьютер специальным образом сформированные запросы, в результате чего система прекращает свою работу.
Exploit.
- Mal/PDFJs-AL (Sophos)
- Exploit:
Win32/Pdfjsc. OR (MS(OneCare)) - Exploit.
PDF. 2187 (DrWeb) - JS/Exploit.
Pdfka. OTW. Gen trojan (Nod32) - PDF:
Exploit. PDF-JS. DW (BitDef7) - JS:
Pdfka-gen [Expl] (AVAST) - Exploit.
Win32. Pdfjsc (Ikarus) - Luhe.
Exploit. PDF. I (AVG) - EXP/Pidief.
hcm (AVIRA) - PDF:
Exploit. PDF-JS. DW [Aquarius] (FSecure) - TROJ_PIDIEF.
SMV1 (TrendMicro) - JS/Pdfka.
OTW!exploit (Fortinet)
© ЗАО «Лаборатория Касперского», 1997-2012
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей