Email-Worm.Win32.Warezov.nv

Технические детали

Вирус-червь. Является приложением Windows (PE EXE-файл). Имеет размер 40960 байт.

Инсталляция

При запуске червь создает следующие файлы:

%System%\dnsamqut.dll
%System%\sdhccard.dll

Также вирус изменяет значение ключа системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
AppInit_DLLs = "dnsamqut.dll sdhccard.dll"

Распространение

Программа распространяется при помощи рассылки ICQ-сообщений. Сообщения включают текст «Check this:» или «My party pics:», после которого следует ссылка на исполняемый файл последней модификации Warezov.

После открытия данной ссылки в веб-браузере пользователю предлагается загрузить файл с именем «archive.exe», при запуске которого происходит инсталляция червя в систему.

Деструктивная активность

Вирус подгружает свой компонент «%System%\dnsamqut.dll» в следующие системные процессы:

services.exe
zlclient.exe
iexplore.exe
mpftray.exe
svchost.exe
outpost.exe
firefox.exe
ccapp.exe
zapro.exe
opera.exe
smc.exe

Червь отключает различное антивирусное программное обеспечение, установленное на компьютере (включая межсетевые экраны).

Также данный вирус обладает функцией загрузки с сайтов злоумышленника других вредоносных программ с последующим запуском скачанных файлов на исполнение.

Рекомендации по удалению

Обнаружение. Процедуры обнаружения этой версии червя были выпущены срочным обновлением баз данных «Антивируса Касперского».
«Антивирус Касперского» версии 6.0 с включенной проактивной защитой способен обнаруживать данную вредоносную программу без обновления антивирусных баз.

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить процесс оригинального файла червя.
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Вручную удалить следующие файлы из системного каталога Windows:

   %System%\dnsamqut.dll
   %System%\sdhccard.dll

4. Удалить параметр из ключа системного реестра:

   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
   AppInit_DLLs = "dnsamqut.dll sdhccard.dll"

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).