Email-Worm.Win32.Warezov.oi

Технические детали

Вирус-червь. Является приложением Windows (PE EXE-файл). Имеет размер 88826 байт. Упакован с помощью Upack, распакованный размер — около 237 КБ.

Инсталляция

При запуске червь создает следующие файлы:

%System%\dmimmsss.dll
%System%\dmimmsss.exe

Также вирус создает ключ в системном реестре:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\dmimmsss]
"DllName" = "%System%\dmimmsss.dll"
"Startup" = "WlxStartupEvent"
"Shutdown" = "WlxShutdownEvent"
"Impersonate" = dword:00000000
"Asynchronous" = dword:00000000

Распространение

Вредоносная программа распространяется при помощи ICQ. Рассылаемые сообщения включают текст «Check this:» или «My party pics:», после которого следует ссылка на исполняемый файл последней модификации Warezov.

После открытия данной ссылки в веб-браузере пользователю предлагается загрузить файл с именем «photo.pif». При запуске скачанного файла происходит инсталляция червя в систему.

Деструктивная активность

Червь подгружает свой компонент «%System%\dmimmsss.dll» в следующие процессы:

services.exe
zlclient.exe
iexplore.exe
mpftray.exe
svchost.exe
outpost.exe
firefox.exe
ccapp.exe
zapro.exe
opera.exe
smc.exe

Вирус отключает различное антивирусное программное обеспечение, установленное на компьютере (в том числе межсетевые экраны).

Также червь обладает функцией загрузки с сайтов злоумышленника других вредоносных программ с последующим запуском скачанных файлов на исполнение.

Рекомендации по удалению

Обнаружение. Процедуры обнаружения этой версии червя были выпущены срочным обновлением баз данных «Антивируса Касперского».
«Антивирус Касперского» версии 6.0 с включенной проактивной защитой способен обнаруживать данную вредоносную программу без обновления антивирусных баз.

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить процесс оригинального файла червя.
2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Вручную удалить следующие файлы из системного каталога Windows:

   %System%\dmimmsss.dll
   %System%\dmimmsss.exe

4. Удалить ключ из системного реестра:

   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\dmimmsss]

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).