Worm.Win32.AutoIt.c

Технические детали

Червь, создающий свои копии на локальных дисках и доступных для записи сьемных носителях. Является приложением Windows (PE EXE-файл). Упакован при помощи UPX. Размер зараженных файлов варьируется в пределах от 220 до 275 КБ.

Инсталляция

При запуске червь копирует свой исполняемый файл в системный и корневой каталоги Windows:

%WinDir%\RVHOST.exe
%System%\RVHOST.exe

Для автоматического запуска при каждом следующем старте системы червь добавляет ссылки на свой исполняемый файл в ключи автозапуска системного реестра:

Распространение

Червь копирует свой исполняемый файл в корень доступных для записи съемных дисков под следующим именем:

New Folder.exe

Также червь рекурсивно копирует свой исполняемый файл во все папки на съемных дисках. Файлы-копии червя имеют имена, соответствующие именам папок, в которых они находятся, и расширение «.exe».

Деструктивная активность

Червь создает следующие параметры в ключе реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
DisableRegistryTools = 1
DisableTaskMgr = 1

Таким образом он блокирует запуск редактора реестра и «Диспетчера задач».

Также червь завершает процессы некоторых антивирусных программ и сетевых экранов.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. Завершить процесс червя, выполнив в командной строке следующую команду:

   taskkill /IM RVHOST.exe

2. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Выполнить следующие команды в командной строке для включения редактора реестра и «Диспетчера задач»:
   reg delete
   HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr
   reg delete
   HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools

   На запрос о подтверждении удаления параметров ответить "Y" и нажать Enter.

4. Удалить значение ключа системного реестра:

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "Yahoo Messengger" = "%System%\RVHOST.exe"

5. Восстановить измененное значение ключа реестра:

   [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Shell = "Explorer.exe"

6. Удалить файлы:

   %WinDir%\RVHOST.exe
   %System%\RVHOST.exe

7. Удалить все копии червя со съемных дисков.
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).