Russian

Вход

Поиск

Интернет находится в нормальном состоянии, крупных эпидемий и других серьезных инцидентов службой мониторинга «Лаборатории Касперского» не зафиксировано.

Уровень опасности: 1

Следите в

Главная→Описания→Trojan.Win32.VkHost.dfa

Trojan.Win32.VkHost.dfa

Время детектирования	06 мар 2011 13:59 MSK
Время выпуска обновления	06 мар 2011 21:43 MSK
Описание опубликовано	28 фев 2012 18:10 MSK

Экспертное описание Автоматическое описание

Это описание создано экспертами «Лаборатории Касперского» и содержит наиболее точную информацию о данном детектируемом объекте.

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 519680 байт. Написана на Delphi.

Деструктивная активность

После запуска троянец перезаписывает оригинальный файл "hosts":

%WinDir%\system32\drivers\etc\hosts

Записывая в файл следующие строки:

173.*.114.161 vkontakte.ru
173.*.114.161 vk.com
173.*.114.161 durov.ru
173.*.114.161 www.vkontakte.ru
173.*.114.161 yandex.ru
173.*.114.161 google.ru
173.*.114.161 wikipedia.ru
173.*.114.161 mail.ru
173.*.114.161 odnoklassniki.ru
173.*.114.161 rambler.ru
173.*.114.161 ya.ru
173.*.114.161 google.com
173.*.114.161 www.google.ru
173.*.114.161 www.vk.com
173.*.114.161 www.durov.ru
173.*.114.161 www.yandex.ru
173.*.114.161 www.mail.ru
173.*.114.161 www.google.com
173.*.114.161 www.ya.ru
173.*.114.161 www.rambler.ru
173.*.114.161 www.odnoklassniki.ru
173.*.114.161 pda.vkontakte.ru
173.*.114.161 m.vkontakte.ru
173.*.114.161 www.m.vkontakte.ru
173.*.114.161 www.otvet.mail.ru
173.*.114.161 www.nigma.ru
173.*.114.161 nigma.ru
173.*.114.161 forum.antichat.ru
173.*.114.161 www.forum.antichat.ru
173.*.114.161 google.ua
173.*.114.161 www.google.ua

что приводит к перенаправлению обращений по указанным URL адресам, на заданный IP адрес.

Для измененного файла "hosts" устанавливает атрибут "Скрытый".

Создает файл с нулевым размером:

%WinDir%\system32\drivers\etc\hоsts

Где буква "о" в названии файла является кириллическим символом.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).

Восстановить оригинальное содержимое файла:

%WinDir%\system32\drivers\etc\hosts

которое по умолчанию имеет следующий вид:

# (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии 
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом '#'.
#
# Например:
#
#      102.54.94.97     rhino.acme.com          # исходный сервер
#       38.25.63.10     x.acme.com              # узел клиента x

127.0.0.1       localhost

Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: 406E0B5A34D4533B46D25857E1193459
SHA1: D40F5724957DC049356768FEDBA37DE9AF6F7FCD

Печать

Закладки

Вредоносные программы

Троянские программы

Trojan

Вредоносная программа, предназначенная для осуществления несанкционированных пользователем действий, влекущих уничтожение, блокирование, модификацию или копирование информации, нарушение работы компьютеров или компьютерных сетей, и при всём при этом не попадающая ни под одно из других троянских поведений.

К Trojan также относятся «многоцелевые» троянские программы, т.е. программы, способные совершать сразу несколько несанкционированных пользователем действий, присущих одновременно нескольким другим поведениям троянских программ, что не позволяет однозначно отнести их к тому или иному поведению.

Другие модификации

Trojan.Win32.VkHost.an

Trojan.Win32.VkHost.caq

Trojan.Win32.VkHost.coc

Trojan.Win32.VkHost.cqr

Trojan.Win32.VkHost.ee

Trojan.Win32.VkHost.mz

Другие названия

Trojan.Win32.VkHost.dfa («Лаборатория Касперского») также известен как:

Trojan: Generic.dx!xol (McAfee)
Mal/Generic-L (Sophos)
Trojan:Win32/Vkhost.D (MS(OneCare))
Trojan.Hosts.4073 (DrWeb)
Win32/Qhost.PCZ trojan (Nod32)
Trojan.Generic.5844874 (BitDef7)
Trojan.VkHost!6ZGOEE60iy0 (VirusBuster)
Win32:Malware-gen (AVAST)
Virus.Hosts (Ikarus)
Win32/DH.AA54534F48 (AVG)
TR/VKHost.dfa (AVIRA)
BACKDOOR.Trojan (NAV)
NseCheckFile2() returned 0x00010018 (Norman)
Trojan.Win32.Generic.12805695 (Rising)
Trojan.VkHost!6ZGOEE60iy0 (VirusBusterBeta)

© ЗАО «Лаборатория Касперского», 1997-2013
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей.
Мнение авторов может не совпадать с официальной позицией «Лаборатории Касперского».