Email-Worm.Win32.Warezov.lg

Технические детали

Данная модификация почтового червя Warezov представляет собой компонент, используемый другими представителями данного семейства. Является библиотекой Windows (DLL-файл). Имеет размер 364544 байта.

Инсталляция

Библиотека проверяет, в какой системный процесс она загружена. Если именем процесса является «winlogon.exe», в системный каталог Windows извлекаются следующие файлы:

%System%\wmvprf32.dll 
%System%\wmvstat.dll
%System%\confwmv.dll 
%System%\wmvconf.exe

Данные файлы детектируются Антивирусом Касперского как модификации семейства червей Warezov: Email-Worm.Win32.Warezov.lf, Email-Worm.Win32.Warezov.lg и Email-Worm.Win32.Warezov.kz.

С целью автоматической загрузки своих компонентов при каждом последующем старте операционной системы червь добавляет ссылки на компоненты в ключи автозапуска системного реестра:

Деструктивная активность

Червь производит поиск открытых окон и сканирует в них поля для ввода паролей. В случае обнаружения таковых похищает их содержимое.

Также вирус отключает системные компоненты защиты, эмулируя в их диалоговых окнах нажатия на кнопку «OK».

Кроме того, червь создает SMTP прокси-сервер на произвольном TCP-порте, затем сообщает IP-адрес зараженного компьютера и номер открытого порта на сайт злоумышленника — вместе с собранной во время своей работы информацией.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %System%\wmvprf32.dll 
   %System%\wmvstat.dll
   %System%\confwmv.dll 
   %System%\wmvconf.exe

3. Удалить следующий параметр из ключа реестра:
   [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   "wmvdiag" = "<путь и имя исполняемого файла червя>"
4. Удалить строки «confwmv.dll» и «wmvstat.dll» из значения параметра системного реестра:
   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
   "AppInit_DLLs"
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).