Virus.Win32.Virut.p

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Вредоносная программа, которая находит и заражает исполняемые файлы на компьютере пользователя. Размер оригинального вредоносного файла – 94 208 байт. Ничем не упакована.

Деструктивная активность

Вредонос является полиморфным резидентным вирусом с функцией IRC бэкдора.

После запуска производится запись в адресное пространство системного процесса lsass.exe и запускается удаленный поток.

Также вирус устанавливает ловушки в запущенных процессах на следующие функции:

NtCreateFile
NtOpenFile
NtCreateProcess
NtCreateProcessEx

После чего инфицированный процесс ищет все файлы с расширением .exe и .scr за исключением тех, что начинаются c:

PSTO
WC32
WCUN
WINC

и производит запись своего кода.

Вирус, обладая функциями IRC бэкдора, соединяется со следующим IRC сервером под ником из 8 случайных букв в канале virtu и ожидает команд злоумышленника:

irc***ief.pl

Для определения своего присутствия в системе вредонос создает уникальный идентификатор:

Vx_4

Вирус имеет возможность загружать и запускать вредоносные программы, указанные злоумышленником, на компьютере пользователя.

Вирус изменяет следующее значение в реестре:

[HKCR\Software\ Microsoft\Windows\CurrentVersion\Explorer]
"TargetHost" = "http://irc***ief.pl"

В коде вирус содержится отрывок поэмы Ницше:

O noon of life! O time to celebrate!
O summer garden!
Relentlessly happy and expectant, standing: -
Watching all day and night, for friends I wait:
Where are you, friends? Come! It is time! It's late!

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить системный процесс lsass.exe.
2. Удалить значение из реестра (как работать с реестром?):

   [HKLM\Software\ Microsoft\Windows\CurrentVersion\Explorer]
   "TargetHost"="http://irc***ief.pl"

3. Удалить оригинальные файл вируса.
4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).