Trojan.Win32.Buzus.fbcr

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 585661 байт. Написана на Delphi.

Деструктивная активность

Основное окно программы имеет следующий вид:

После запуска троянец выполняет следующие действия:

• В случае обнаружения следующих процессов завершает свою работу:

  VMwareUser.exe
  VMwareService.exe
  VMwareTray.exe
  

• Проверяет наличие ключа системного реестра (предположительно создается другими вредоносными программами):

  [HKLM\Software\Microsoft\HTTP_UPDATE]

• Выполняет перемещение файлов: Для "Windows XP" и "Windows 2003":

  %Documents and Settings%\All Users\Templates\Directdb.xml

  Для "Windows Vista" и "Windows 7":

  %Temporary Internet Files%\Directdb.xml

  Перемещает вышеуказанные файлы соответственно под следующими именами:

  %Documents and Settings%\All Users\Templates\qweoi.tmp
  %Temporary Internet Files%\qweoi.tmp
  

  После чего выполняет отложенное удаление этих файлов (происхождение или принадлежность удаляемых файлов к тем или иным приложениям установить не удалось).
• Удаляет следующие файлы (происхождение или принадлежность удаляемых файлов к тем или иным приложениям установить не удалось):

  C:\RECYCLER\Update.exe
  C:\RECYCLER\UpdateSet.exe
  

• Выводит следующее сообщение об ошибке:

  

Также троянец запускает две копии своего тела, в которые внедряет код из своих ресурсов.

Размер внедряемого кода в первую копию составляет 99328 байт и детектируется Антивирусом Касперского как Trojan-Downloader.Win32.Agent.eisi. Внедренный код выполняет следующие действия:

• Удаляет файл:

  <X>:\tmp.log

  где <X> - буква системного диска.
• Выполняет команду:

  ipconfig.exe /all >C:\tmp.log

  Вышеуказанная команда позволяет сохранить настройки протокола IP для Windows в файл "C:\tmp.log".
• Переписывает содержимое файла "C:\tmp.log" следующими строками:

  pushd interface ip
  set dns name="<name>" source=static addr=121.***.
  240 register=PRIMARY
  add dns name="<name>" addr=125.***.219 index=2
  set wins name="<name>" source=static addr=none
  popd
  

  где <name> - имя сетевого подключения, например "Local Area Connection". И выполняет следующую команду:

  netsh.exe -f C:\tmp.log

  Что приводит к изменению адресов основного и дополнительного DNS-серверов и как следствие перенаправлению все DNS запросов на указанные адреса (метод изменения DNS серверов реализован таким образом, что он работает лишь на тех системах, где строка "Ethernet adapter" при выполнении команды "ipconfig /all", не локализована, т.е. не переведена на национальный язык. Так, например, данный метод не работает для русской локализации, т.к. вышеуказанная строка не встречается при выводе команды "ipconfig /all", а вместо нее отображается локализованная строка "Ethernet адаптер").
• Завершает процесс с именем:

  ipconfig.exe

• Отправляет запрос на следующий адрес:

  http://www.qq***nead.com/GetServer.asp?Mac=<StartPage>&otherInfo=ok

  где <StartPage> - значение стартовой страницы, полученное из следующего ключа реестра:

  [HKCU\Software\Microsoft\Internet Explorer\Main\Start Page]

• Создает каталог:

  C:\RECYCLER\

  куда перемещает свое тело под именем:

  Temp.dat

  и выполняет отложенное удаление этого файла.

Размер внедряемого кода во вторую копию составляет 479232 байта.

Внедренный код выполняет следующие действия:

• Обращается на следующий ресурс, используя GET запрос:

  http://yuanfa***43759.com/xg/updateinfo.htm

  На момент создания описания вышеуказанный ресурс был недоступен. Данные полученные в ответ на запрос проверяются на содержание затребованных данных (статус код ответа равен 200), а также на содержание строки

  Start

  После чего выполняется обработка полученных данных (предположительно получаемые данные содержат список, возможно URL адресов, т.к. в коде отвечающим за обработку полученных данных виден многократный поиск разделителей, сам же механизм обработки получаемых данных изучить не удалось, т.к. ресурс более недоступен, а сам механизм завязан на получаемые данные).
• В случае если ответ от сервера по вышеуказанному адресу, не содержит затребованных данных, то в рабочем каталоге создается файл "infmantion.bat", который содержит следующие строки:

  :try
  del /q /f "<Путь_к_оригинальному_телу_троянца>"
  if exist <Путь_к_оригинальному_телу_троянца> goto try
  del %0
  

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить вредоносный процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить файл:

   %Temp%\
   <X>:\tmp.log

   где <X> - буква системного диска.
4. Восстановить оригинальные значения основного и дополнительного DNS-серверов, адреса которых можно получить у системного администратора вашей сети.
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan. Выполняет действия, характерные для вредоносных программ

• Осуществляет сетевую активность

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 585776 байт.

Инсталляция

После запуска создает свои копии под следующими именами:

• C:\RECYCLER\Temp.dat

Создает следующие файлы на зараженном компьютере:

• C:\tmp.log
• Каталог хранения Пользовательских настроек%Documents and Settings%\All Users\Templates\qweoi.tmp
• c:\infmantion.bat

Вредоносная активность

Внедряет свой код в следующие процессы:

• <­файл исходной программы­>

Копирует следующие файлы в скрытые директории:

• Temp.dat
• Update.exe
• UpdateSet.exe

Проверяет наличие доступа в Интернет на зараженной машине

Обращается к следующим адресам в Интернете:

• http://***nfang.6743759.com/xg/updateinfo.htm
• http://www.***nlinead.com/GetServer.asp?Mac=about:blank&otherInfo=ok

Прочие действия

Производит запуск следующих файлов (команд):

• <­путь к исходной программе­><­файл исходной программы­>
• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\ipconfig.exe Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\ipconfig.exe /all
• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\netsh.exe Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\netsh.exe -f C:\tmp.log

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>
• C:\tmp.log
• C:\RECYCLER\Update.exe
• C:\RECYCLER\UpdateSet.exe