Trojan.Win32.FraudPack.aolb

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE EXE-файл). Имеет размер 186880 байт. Упакована неизвестным упаковщиком. Распакованный размер – около 1,2 МБ. Написана на C++.

Инсталляция

При запуске троянец перемещает свое тело в следующий файл:

%AppData%\av.exe

Кроме того, троянец создает ярлыки:

%USERPROFILE%\Start Menu\XP_AntiSpyware.lnk
%USERPROFILE%\Desktop\XP_AntiSpyware.lnk
%AppData%\Microsoft\Internet Explorer\Quick Launch\XP_AntiSpyware.lnk

%AppData%\av.exe

Деструктивная активность

Троянец представляет собой лже-антивирус и после запуска имитирует работу антивирусной программы.

Также изменяются значения следующих ключей системного реестра:

Кроме того, в процессе своей работы троянец пытается загрузить файлы со следующих хостов:

*****pc-care.com
*****are-antivirus.com
*****re-antivirus2010.com
*****ve-care2010.com
*****ve-care21.com
*****ve-care2010.com
*****pccare.com
*****ws-live-care.com
*****rd2010.com
*****-live.com
*****onerduma.com

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить троянский процесс.
2. Удалить файлы:

   %AppData%\av.exe
   %USERPROFILE%\Start Menu\XP_AntiSpyware.lnk
   %USERPROFILE%\Desktop\XP_AntiSpyware.lnk
   %AppData%\Microsoft\Internet Explorer\Quick Launch\XP_AntiSpyware.lnk
   

3. Восстановить исходные значения ключей системного реестра (как работать с реестром?):
   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\StandardProfile]
   "EnableFirewall" = "0"
   "DoNotAllowExceptions" = "0"
   "DisableNotifications" = "1"
   
   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\DomainProfile]
   "EnableFirewall" = "0"
   
   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\DomainProfile]
   "DoNotAllowExceptions" = "0"
   "DisableNotifications" = "1"
   
   [HKLM\System\CurrentControlSet\Services\SharedAccess]
   "Start" = "4"
   
   [HKLM\SOFTWARE\Microsoft\Security Center]
   "AntiVirusDisableNotify" = "1"
   "AntiVirusOverride" = "1"
   "FirewallDisableNotify" = "1"
   "FirewallOverride" = "1"
   "UpdatesDisableNotify" = "1"
4. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan-Banker. Похищает конфиденциальную информацию от банков, финансовых учреждений, платежных систем

• Осуществляет сетевую активность

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 187904 байт.

Инсталляция

После запуска создает свои копии под следующими именами:

• Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\Local Settings\Application Data\av.exe

Создает следующие файлы на зараженном компьютере:

• Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\Local Settings\Application Data\a55S

Вредоносная активность

Похищает конфиденциальную информацию пользователя от Вредоносная программа, предназначенная для кражи пользовательской информации, относящейся к банковским системам, системам электронных платежей и пластиковых карт. Найденная информация передается злоумышленнику при помощи электронной почты, ftp, web и других способов.
Подробнее можно прочитать здесь: http://www.viruslist.com/ru/analysis?pubid=204007628следующих банков, финансовых учреждений, платежных систем:

• Caja Madrid

Создает соединение со следующими адресами в Интернете:

• ***uard2010.com:20480
• ***e-pccare.com:20480
• ***care-antivirus2010.com:20480
• ***ibonerduma.com:20480
• ***live-care2010.com:20480
• ***in-live.com:20480
• ***dows-live-care.com:20480
• ***e-pc-care.com:20480
• ***-care-antivirus.com:20480
• ***live-care21.com:20480

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• cu43yxio32zdl11
• {C9A34C77-4D69-45EC-A07D-83242376045D}D68DDC3A-831F-4FAE-9E44-DA132C1ACF46

Пытается найти файлы на компьютере пользователя по следующим маскам:

• *.*

Прочие действия

Производит запуск следующих файлов (команд):

• \" Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\Local Settings\Application Data\av.exe\" /GAV <­путь к исходной программе­><­файл исходной программы­>

Ищет следующие окна:

Класс:

msascui_class

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Clients\StartMenuInternet ] "(default)" = "IEXPLORE.EXE"

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>