P2P-Worm.Win32.Palevo.awmu

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Червь, содержащий в себе функционал троянской программы, предоставляющий злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 140288 байт. Упакована неизвестным упаковщиком. Распакованный размер - около 98 КБ. Написана на C++.

Деструктивная активность

После запуска червь внедряет вредоносный код в адресное пространство процесса с классом окна "Progman" (таким образом червь ищет процесс "еxplorer.exe"), после этого завершает свое выполнение.

Внедренный вредоносный код создает уникальный идентификатор для контроля уникальности своего процесса в системе:

pxT=+10

После этого создает копию тела червя с именем "rmhzb.exe":

%AppData%\rmhzb.exe

Данному файлу устанавливает атрибуты "скрытый" и "системный". Добавляет ссылку на копию червя в ключ автозапуска системного реестра, что приводит к автоматическому запуску копии червя при каждом следующем старте системы:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Taskman" = "%AppData%\rmhzb.exe"

Если тело червя находилось на съемном диске, тогда он открывает корневой каталог данного диска при помощи программы "Проводник". Далее реализует функционал бэкдора. Для этого соединяется с удаленными хостами:

jeb***ikolic.su
pee***osarske.ru
tes***arke.com
jui***acala.org
92.***.237

Таким образом получает возможность получать команды от злоумышленника и вредоносные файлы в зашифрованном виде.

После установки соединения по команде злоумышленника способен выполнять следующий функционал:

• Загружать и запускать на исполнение файлы, которые сохраняются во временном каталоге пользователя под случайными именем:

  %Temp%\<rnd2>.exe

  Где <rnd2> - случайное число.
• Создавать копии тела червя на всех доступных на запись сетевых и съемных дисках с именем "Aove.exe":

  <X>:\Aove.exe

  Где <X> - буква сетевого или съемного диска. Также помещает в корень диска сопровождающий файл:

  <X>:\autorun.inf

  который запускает исполняемый файл копии червя, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".
• Устанавливать coockie для браузера "Mozilla Firefox".
• Отслеживать поисковые запросы пользователя для следующих браузеров:

  Mozilla Firefox
  Microsoft Internet Explorer
  Windows Internet Explorer
  Opera
  Google Chrome
  

Таким образом получает возможность подменять результаты поисковых запросов.

На момент создания описания получал команду загрузки и запуска на исполнение своей обновленной версии.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. При помощи Диспетчера задач завершить процесс:

   explorer.exe

3. Удалить файлы:

   %AppData%\rmhzb.exe
   <X>:\Aove.exe
   <X>:\autorun.inf
   

4. Удалить файлы из временного каталога текущего пользователя Windows по следующей маске:

   %Temp%\<rnd2>.exe

   Где <rnd2> - случайное число.
5. Удалить патаметр ключа системного реестра (системного реестра):

   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "Taskman" = "%AppData%\rmhzb.exe"
   

6. Очистить каталог Temporary Internet Files:

   %Temporary Internet Files%

7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan. Выполняет действия, характерные для вредоносных программ

Технические детали

Имеет размер 140288 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• тKЮ
• ­строка содержит нечитаемые символы­

Вредоносная активность

Внедряет свой код в следующие процессы:

• explorer.exe

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• pxT=+10

Прочие действия

Ищет следующие окна:

Класс:

Progman

Удаляет следующие файлы на зараженном компьютере:

• ­строка содержит нечитаемые символы­
• b
• Д8аM