Worm.Win32.AutoRun.ghc

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Червь, создающий свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является приложением Windows (PE-EXE файл). Имеет размер 32601 байт. Упакован FSG. Распакованный размер – около 131 КБ. Написан на C++.

Распространение

Червь копирует свое тело на все доступные для записи логические и съемные диски под следующим именем:

Вместе со своим исполняемым файлом червь помещает файл:

<имя зараженного раздела>:\AUTORUN.INF

следующего содержания:

[AutoRun]
open=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\rav32.exe
shell\open=+?¬e(&O)
shell\open\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\rav32.exe
shell\open\Default=1
shell\explore=+¦L+¦-Ly¦?(&X)
shell\explore\Command=recycle.
{645FF040-5081-101B-9F08-00AA002F954E}\rav32.exe

Это позволяет червю запускаться каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Созданным файлам присваиваются атрибуты "скрытый" (hidden) и "системный" (system).

Деструктивная активность

После запуска червь выполняет следующие действия:

• запускает системный командный интерпретатор "cmd.exe" со следующими параметрами:

  /c sc config ekrn start= disabled
  /c sc config sharedaccess start= disabled
  

  Таким образом, отменяется автоматический запуск служб "ekrn", "sharedaccess".

  /c taskkill.exe /im ekrn.exe /f
  /c taskkill.exe /im egui.exe /f

  Это приводит к завершению процессов "ekrn.exe", "egui.exe".

  /c net stop wscsvc
  /c net stop SharedAccess

  Это приводит к остановке служб "wscsvc", "SharedAccess".
• Извлекает из своего тела файлы, которые сохраняются в системе под следующими именами:

  %WinDir%\tete<rnd>t.dll

  (40960 байт; детектируется Антивирусом Касперского как "Trojan-Downloader.Win32.Geral.ate")

  %WinDir%\extext<rnd>t.exe

  (12288 байт; детектируется Антивирусом Касперского как "Trojan-Downloader.Win32.Geral.aot")

  %System%\drivers\pcidump.sys

  (11904 байта; детектируется Антивирусом Касперского как "Rootkit.Win32.Agent.fia") где <rnd> – случайное девятизначное десятичное число.
• Запускает системную утилиту "rundll32.exe" со следующими параметрами:

  %WinDir%\tete<rnd>t.dll testall

  Это приводит к вызову функции "testall" из ранее извлеченной библиотеки "%WinDir%\tete<rnd>t.dll".
• Запускает на выполнение извлеченный ранее файл "%WinDir%\extext<rnd>t.exe".
• Создает и запускает в системе службу с именем "pcidump", бинарным файлом которой является извлеченный ранее файл "%System%\drivers\pcidump.sys".
• Копирует свое тело в следующий файл:

  %System%\scvhost.exe

• Для удаления своего оригинального файла после завершения его работы создает в своем рабочем каталоге и запускает на выполнение сценарий командного интерпретатора "afc90a.bat" следующего содержания:

  @echo off
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @echo ad32rwhlk>>321.aqq
  @del 321.aqq
  @del "<полный путь к оригинальному файлу червя>"
  @del afc90a.bat
  @exit

  При этом сам файл "afc90a.bat" также удаляется.

После этого червь завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить троянский процесс.
2. Удалить ветви системного реестра (как работать с реестром?):

   [HKLM\System\ControlSet001\Services\pcidump]
   [HKLM\System\CurrentControlSet\Services\pcidump]

3. Перезагрузить компьютер.
4. Удалить файлы:
   <имя зараженного раздела>:\recycle.{645FF040-5081-101B-9F08-
   00AA002F954E}\rav32.exe
   <имя зараженного раздела>:\AUTORUN.INF
   %WinDir%\tete<rnd>t.dll
   %WinDir%\extext<rnd>t.exe
   %System%\drivers\pcidump.sys
   %System%\scvhost.exe
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).