not-a-virus:AdWare.Win32.Boran.z

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Потенциально нежелательная программа. Программа является динамической библиотекой Windows (PE DLL-файл). Имеет размер 57856 байт. Упакована при помощи UPX. Распакованный размер – около 160 КБ. Написана на C++.

Деструктивная активность

Программа используется при установке компонента панели инструментов "Baidu Toolbar" для Internet Explorer, являющегося Internet Explorer Browser Helper Object (BHO).

Файлы программы помещаются в системный каталог Windows:

%System%\BDGuard.DAT – 1464 байта
%System%\BDGuardS.DAT — 7904 байта

Извлекает из своего тела драйвер c именем "BDGuard.SYS":

%System%\drivers\BDGuard.SYS

Данный файл с расширением "sys" выполнен в виде драйвера ядра NT (kernel mode driver). Имеет размер 28672 байта.

Для запуска драйвера создается службу с именем извлеченного драйвера. Для автоматического запуска драйвера при каждом следующем старте системы записывает в системный реестр следующую информацию:

[HKLM\System\CurrentControlSet\Services\BDGuard]
"DisplayName" = "BDGuard"
"ImagePath" = "%System%\drivers\BDGuard.SYS"
"Group" = "FSFilter Activity Monitor"
"ErrorControl" = "0"
"Start" = "0"
"Type" = "2"

Драйвер предназначен для блокировки удаления файлов и ключей реестра устанавливаемого BHO-компонента при помощи подмены обработчиков следующих функций:

NtDeleteKey
NtDeleteValueKey
NtEnumerateKey
NtEnumerateValueKey
NtQueryValueKey
NtRestoreKey
NtSetSystemInformation
NtSetValueKey
NtTerminateProcess
в KeServiceDescriptorTable.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Выполнить загрузку Windows в безопасном режиме с поддержкой командной строки и выполнить команду для удаления ключа системного реестра:

   reg delete HKLM\System\CurrentControlSet\Services\BDGuard

2. Выполнить обычную загрузку Windows и удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить файлы:

   %System%\BDGuard.DAT
   %System%\BDGuardS.DAT
   %System%\drivers\BDGuard.SYS
   

4. Удалить файлы:

   %ProgramFiles%\MMSAssist\MMSASS~1.DLL
   %System%\stdup.dll
   %Temp%\mq\<rnd>.dll
   

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).