Virus.Win32.VB.cx

Технические детали

Вредоносная программа, которая находит и заражает исполняемые файлы на компьютере пользователя. Является приложением Windows (PE EXE-файл). Написана на Visual Basic. Ничем не упакована. Размер оригинального вредоносного файла — 348160 байт.

Инсталляция

После запуска выполняется создание копий файла вируса c идентичным оригинальному именем (оригинальное должно быть с расширением .exe) в корневом, системном и временном каталогах Windows:

%WinDir%\%VirName%.exe
%System%\%VirName%.exe
%Temp%\%VirName%.exe

Также вирус добавляет ссылку на свою копию в ключ автозапуска системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"mab" = "%System%\%VirName%.exe"

Деструктивная активность

После инсталляции происходит поиск всех файлов в корневых каталогах на всех логических дисках в системе. В данных каталогах создаются копии исполняемого файла вируса под тем же именем, что и у оригинального файла, а содержимое найденных файлов с расширениями:

.cpp
.doc
.htm
.html
.txt
.xls

перезаписывается следующим текстом (размер 103 байта):

Если сканирование диска было окончено, оно повторяется через 5 секунд после завершения.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить процесс с именем файла вируса.
2. Удалить следующее значение реестра:

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "mab"

3. Удалить копии вируса в корневом, системном и временном каталогах Windows:

   %WinDir%\%VirName%.exe
   %System%\%VirName%.exe
   %Temp%\%VirName%.exe

4. Произвести поиск и удаление всех файлов с именем файла вируса и таким же размером.
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).