Virus.Win32.VB.dl

Технические детали

Вирус, замещающий файлы своими копиями. Является приложением Windows (PE-EXE файл). Имеет размер 143872 байта. Упакован при помощи PECompact, распакованный размер – около 233 КБ. Написан на Visual Basic.

Инсталляция

При запуске вирус копирует свой исполняемый файл как:

Для автоматического запуска при каждом следующем старте системы вирус добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:

После чего вирус извлекает из своего тела следующие файлы:

C:\WINDOWS\system32\man.bat

C:\WINDOWS\msvbvm60.dll 

c:\msvbvm60.dll 

C:\WINDOWS\System\SYSVER.DLL 

Также вирус изменяет значения следующих ключей реестра на указанные:

Деструктивная активность

Вирус завершает процессы, окна которых содержат одну из нижеприведенных строк в своем заголовке:

Вирус производит поиск файлов на всех фиксированных и съемных дисках компьютера по следующей маске:

и замещает их своими копиями, добавляя второе расширение ".exe".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи <Диспетчера задач> завершить вредоносный процесс, возможное имя процесса: "Vergon1885.exe".
2. Удалить оригинальный файл вируса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить следующие параметры в ключах системного реестра:
   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "wmplayer" = "C:\WINDOWS\system32\vergon1885.exe"
   
   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "Shell" = "Explorer.exe C:\WINDOWS\system32\vergon1885.exe"
   
   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "Userinit" = "C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\vergon1885.exe"
   
   [HKLM\SYSTEM\ControlSet001\Control\SafeBoot]
   "AlternateShell" = "C:\WINDOWS\system32\vergon1885.exe"
   
   [HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot]
   "AlternateShell" = "C:\WINDOWS\system32\vergon1885.exe"
   
   [HKLM\Software\Microsoft\command processor]
   "autorun" = "C:\WINDOWS\system32\man.bat"
   
   [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
   "DisableTaskMgr" = "1"
   
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   "HideFileExt" = "1"
   
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   "Hidden" = "1"
   
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   "ShowSuperHidden" = "1"
   
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\cabinetstate]
   "fullpath" = "1"
   
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\cabinetstate]
   "fullpathaddress" = "1"
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\SystemFileProtection]
   "ShowPopups" = "1"
4. Удалить файлы:
   c:\windows\system\Lagu.mp3
   C:\Documents and Settings\Administrator\Start Menu\Programs\Startup\admin32.exe
   C:\Documents and Settings\Default User\Start Menu\Programs\Startup\_default.exe
   C:\Documents and Settings\All Users\Start Menu\Programs\Startup\user32.exe
   C:\WINDOWS\system32\vergon1885.exe
   C:\WINDOWS\system\x-executor.exe
   C:\Backup\WMP_10 for XP.exe
   D:\Secret\ABG_xxx.3gp.exe
   D:\Tools\AVSEQ01.mpg.exe
   D:\Doc\IEWMP_10_xpsp2.exe
   E:\XXX\1-1-2007.mpg.exe
   E:\multimedia\Lagu porno.mp3.exe
   E:\player\WMP_10.4.exe
   F:\Song\Ria Amelia - SMS.mp3.exe
   F:\playlist\playstuff.mpg.exe
   F:\favorite\Samson - Lelaki buaya darat.mp3.exe
   G:\new\DFX for Windows Media Player.XPSP2.exe
   G:\download\sexmission.mpg.exe
   G:\New Folder\Plug-in WMP_10.XPSP2.exe
   h:\video\secretvideo.mpg.exe
   h:\My File\he he he.mpg.exe
   h:\mp3\Top Indo 2007.mp3.exe
   I:\sembunyi\03movie1107.mpg.exe
   I:\My folder\filmbiru.mpg.exe
   I:\Hidden\private.mpg.exe
   C:\WINDOWS\system32\man.bat
   C:\WINDOWS\msvbvm60.dll
   c:\msvbvm60.dll
   C:\WINDOWS\System\SYSVER.DLL
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).