Trojan.Win32.FraudPack.aoip

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 186880 байт. Упакована неизвестным упаковщиком. Распакованный размер – около 1258 КБ. Написана на C++.

Инсталляция

После запуска троянец перемещает свое тело в следующий файл:

%USERPROFILE%\Local Settings\Application Data\av.exe

Кроме того, троянец создает ярлыки:

%USERPROFILE%\Start Menu\XP_AntiSpyware.lnk
%USERPROFILE%\Desktop\XP_AntiSpyware.lnk
%USERPROFILE%\Application Data\Microsoft\Internet Explorer\Quick
 Launch\XP_AntiSpyware.lnk

%USERPROFILE%\Local Settings\Application Data\av.exe

Деструктивная активность

Троянец представляет собой лже-антивирус. После запуска троянец имитирует работу антивирусной программы, отображая на экране окна следующего содержания:

• имитация процесса сканирования файловой системы компьютера:
  

• вывод ложного сообщения о наличии множества вирусов:
  

Нажатие на область с надписью "Register now" приводит к отображению окна выбора типа приобретаемой лицензии, а также формы для ввода данных кредитной карты.

Кроме того, троянец отображает в области уведомлений сообщения следующего вида:

В процессе своей работы троянец создает уникальные идентификаторы с именами:

Кроме того, в процессе своей работы троянец пытается загрузить файлы со следующих хостов:

live-pc-care.com
one-care-antivirus.com
onecare-antivirus2010.com
winlive-care2010.com
winlive-care21.com
win-live-care2010.com
live-pccare.com
windows-live-care.com
pcguard2010.com
pcwin-live.com
tulibonerduma.com

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить троянский процесс.
2. Удалить файлы:
   %USERPROFILE%\Local Settings\Application Data\av.exe
   %USERPROFILE%\Start Menu\XP_AntiSpyware.lnk
   %USERPROFILE%\Desktop\XP_AntiSpyware.lnk
   %USERPROFILE%\Application Data\Microsoft\Internet Explorer\Quick
   Launch\XP_AntiSpyware.lnk
3. Восстановить исходные значения ключей системного реестра (как работать с реестром?):
   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\StandardProfile]
   "EnableFirewall" = "0"
   "DoNotAllowExceptions" = "0"
   "DisableNotifications" = "1"
   
   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\DomainProfile]
   "EnableFirewall" = "0"
   
   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\DomainProfile]
   "DoNotAllowExceptions" = "0"
   "DisableNotifications" = "1"
   
   [HKLM\System\CurrentControlSet\Services\SharedAccess]
   "Start" = "4"
   
   [HKLM\SOFTWARE\Microsoft\Security Center]
   "AntiVirusDisableNotify" = "1"
   "AntiVirusOverride" = "1"
   "FirewallDisableNotify" = "1"
   "FirewallOverride" = "1"
   "UpdatesDisableNotify" = "1"
4. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan-Banker. Похищает конфиденциальную информацию от банков, финансовых учреждений, платежных систем

• Осуществляет сетевую активность

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 186880 байт.

Инсталляция

После запуска создает свои копии под следующими именами:

• Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\Local Settings\Application Data\av.exe

Создает следующие файлы на зараженном компьютере:

• Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\Local Settings\Application Data\S1w3VU6E374B

Вредоносная активность

Похищает конфиденциальную информацию пользователя от Вредоносная программа, предназначенная для кражи пользовательской информации, относящейся к банковским системам, системам электронных платежей и пластиковых карт. Найденная информация передается злоумышленнику при помощи электронной почты, ftp, web и других способов.
Подробнее можно прочитать здесь: http://www.viruslist.com/ru/analysis?pubid=204007628следующих банков, финансовых учреждений, платежных систем:

• Caja Madrid

Создает соединение со следующими адресами в Интернете:

• ***uard2010.com:20480
• ***e-pccare.com:20480
• ***care-antivirus2010.com:20480
• ***-live-care2010.com:20480
• ***e-pc-care.com:20480
• ***live-care2010.com:20480
• ***live-care21.com:20480
• ***in-live.com:20480

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• cu43yxio32zdl11
• {C9A34C77-4D69-45EC-A07D-83242376045D}D68DDC3A-831F-4FAE-9E44-DA132C1ACF46

Пытается найти файлы на компьютере пользователя по следующим маскам:

• *.*

Прочие действия

Производит запуск следующих файлов (команд):

• \" Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\Local Settings\Application Data\av.exe\" /GAV <­путь к исходной программе­><­файл исходной программы­>

Ищет следующие окна:

Класс:

msascui_class

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Clients\StartMenuInternet ] "(default)" = "IEXPLORE.EXE"

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>