Trojan-Downloader.VBS.Psyme.io

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, которая без ведома пользователя загружает из сети Интернет другие файлы и запускает их на исполнение. Является html-страницей, содержащей сценарии языков Visual Basic Script и Java Script. Имеет размер 2707 байт.

Деструктивная активность

После активации троянец производит расшифровку и внедрение своего кода в память процесса, имеющего следующий уникальный идентификатор в системном реестре:

{BD96C556-65A3-11D0-983A-00C04FC29E36}

Используя уязвимость в ActiveX-компоненте «XMLHTTP», троянец загружает файл со следующего URL:

http://world*****.net/lese.exe

На момент создания описания по данной ссылке скачивался файл размером 21332 байта, детектирующийся Антивирусом Касперского как Trojan-Downloader.Win32.Baser.aw.

Используя уязвимость в ActiveX-компоненте «ADODB.Stream», троянец сохраняет скачанный файл во временный каталог текущего пользователя Windows под именем «g0ld.com»:

%Temp%\g0ld.com

Данный файл запускается на исполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файл:

   %Temp%\g0ld.com

3. Очистить каталог «%Temporary Internet Files%».
4. Отключить уязвимый ActiveX-объект.
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).