Email-Worm.Win32.Warezov.et

Технические детали

Вирус-червь, распространяющийся посредством электронной почты. В письма червь помещает не свою копию, а компонент, обладающий функцией загрузки из Интернета других вредоносных программ.

Зараженные сообщения рассылаются по всем найденным на компьютере адресам электронной почты.

Программа является приложением Windows (PE EXE-файл). Имеет размер 64512 байт. Упакована при помощи UPX. Распакованный размер — около 150 КБ.

Инсталляция

При запуске червь копирует свой исполняемый файл в системный каталог Windows под именем «mspradme.exe»:

%System%\mspradme.exe

Также вирус извлекает из своего тела библиотеки (DLL-файлы) и сохраняет их в системный каталог Windows:

%System%\e1.dll
%System%\vb5dmspo.dll

С целью автоматического запуска своих компонентов при последующем старте системы червь создает параметры в ключах автозапуска системного реестра:

Распространение посредством e-mail

Для поиска адресов жертв червь сканирует адресные книги MS Outlook.

При рассылке почты червь использует собственную SMTP-библиотеку.

Характеристики зараженных писем

Тема письма

Выбирается произвольным образом из списка:

Error
Good Day
hello
Mail Delivery System
Mail server report
Mail Transaction Failed
picture
Server Report
Status
test

Текст письма

Выбирается произвольным образом из списка:

Имя файла вложения

body 
data 
doc 
docs 
document 
file 
message 
readme 
test 
text 
Update-KB<случайные цифры>-x86

Файлы вложения имеют расширения «.zip» или «.txt.exe».

В качестве файла вложения червь рассылает свой компонент, обладающий функцией загрузки из сети Интернет других вредоносных программ.

Деструктивная активность

Вирус имеет возможность завершать различные процессы, а также останавливать и удалять службы антивирусных программ и персональных брандмауэров.

Также основной исполняемый файл червя скачивает с сайтов злоумышленника различное вредоносное программное обеспечение и инсталлирует его в систему пользователя.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить процесс оригинального файла червя.
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Вручную удалить следующие файлы из системного каталога Windows:

   %System%\vb5dmspo.dll
   %System%\mspradme.exe
   %System%\e1.dll

4. Удалить параметры из ключей системного реестра:

   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "mspradme" = "%System%\mspradme.exe"

   [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   "AppInit_DLLs" = "<имя случайной системной библиотеки>
   vb5dmspo.dll e1.dll"

5. Удалить все зараженные письма из всех почтовых папок.
6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).