not-a-virus:AdWare.Win32.FunWeb.gq

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Вредоносная программа является частью другой вредоносной программы рекламного характера. Является динамической библиотекой Windows (PE-DLL файл). Имеет размер 213092 байта. Написана на C++.

Деструктивная активность

Библиотека является одним из компонентов программы "My Web Search Toolbar". Данная программа представляет собой поисковую панель для браузеров Internet Explorer и Mozilla Firefox. Программа отслеживает поисковые запросы, вводимые пользователем, и отправляет полученные результаты в HTTP-запросах на следующие сервера:

im***rm.com     
iw***n.com

Поисковая панель имеет вид:

Рассматриваемая библиотека сохраняется в системе как

%Program Files%\FunWebProducts\Installr\1.bin\9UEZSETP.DLL

и содержит функционал, обеспечивающий регистрацию вредоноса в системном реестре, а также поиск и загрузку обновлений.

Создаются следующие ключи системного реестра:

[HKLM\SOFTWARE\IWONGEI\Installer]
"PluginPath" = "%WorkDir%\"

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Ext\PreApproved\{e094d4e8-0e6b-42db-86c7-9c02880369ea}]
"(Default)" = ""

[HKLM\SOFTWARE\MozillaPlugins\@ei.IWONG.com/Plugin]
"Description" = "IWON Plugin"
"Path" = "%WorkDir%\NP9uEISB.dll"
"vendor" = "FULLCOMPANYNAME_DDE0BB24-8F8C-44e9-
B962-8289B302DEF9"
"version" = "1.1.0.0"

[HKLM\SOFTWARE\MozillaPlugins\@ei.IWONG.com/Plugin\
MimeTypes\application/x-9u-iwongpluginei]
"Description" = "IWON Plugin"
"Suffixes" = "9ui"

[HKCR\IWONGInstaller.Start.1]
"(Default)" = ""

[HKCR\IWONGInstaller.Start.1\CLSID]
"(Default)" = {e094d4e8-0e6b-42db-86c7-9c02880369ea}

[HKCR\IWONGInstaller.Start]
"(Default)" = ""

[HKCR\IWONGInstaller.Start\CLSID]
"(Default)" = "{e094d4e8-0e6b-42db-86c7-9c02880369ea}"

[HKCR\IWONGInstaller.Start\CurVer]
"(Default)" = "IWONGInstaller.Start.1"

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}]
"(Default)" = ""

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}\ProgID]
"(Default)" = "IWONGInstaller.Start.1"

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}\VersionIndependentProgID]
"(Default)" = "IWONGInstaller.Start"

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}
\InprocServer32]
"(Default)" = "<полный путь к оригинальному файлу троянца>"
"ThreadingModel" = "Apartment"

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}
\MiscStatus]
"(Default)" = "0"

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}\
MiscStatus\1]
"(Default)" = "131473"

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}\
TypeLib]
"(Default)" = "{9d9e3ed4-9c56-4800-aa4a-9534f78fd089}"

[HKCR\CLSID\{e094d4e8-0e6b-42db-86c7-9c02880369ea}\
Version]
"(Default)" = "1.0"

[HKCR\TypeLib\{9D9E3ED4-9C56-4800-AA4A-9534F78FD089}\1.0]
"(Default)" = "Installer 1.0 Type Library"

[HKCR\TypeLib\{9D9E3ED4-9C56-4800-AA4A-9534F78FD089}
\1.0\FLAGS]
"(Default)" = "0"

[HKCR\TypeLib\{9D9E3ED4-9C56-4800-AA4A-9534F78FD089}
\1.0\0\win32]
"(Default)" = "<полный путь к оригинальному файлу троянца>\1"

[HKCR\TypeLib\{9D9E3ED4-9C56-4800-AA4A-9534F78FD089}
\1.0\HELPDIR]
"(Default)" = "<полный путь к оригинальному файлу троянца>\"

[HKCR\Interface\{B1B20E23-A374-4B0B-9FC3-5DE37CB1DE94}]
"(Default)" = "It8InstallerStart"

[HKCR\Interface\{B1B20E23-A374-4B0B-9FC3-5DE37CB1DE94}
\ProxyStubClsid]
"(Default)" = "{00020424-0000-0000-C000-000000000046}"

[HKCR\Interface\{B1B20E23-A374-4B0B-9FC3-5DE37CB1DE94}
\ProxyStubClsid32]
"(Default)" = "{00020424-0000-0000-C000-000000000046}"

[HKCR\Interface\{B1B20E23-A374-4B0B-9FC3-5DE37CB1DE94}
\TypeLib]
"(Default)" = "{9D9E3ED4-9C56-4800-AA4A-9534F78FD089}"
"Version" = "1.0"

[HKCR\Interface\{35D6C638-47A9-4AB4-8E78-E43A1D9C1560}]
"(Default)" = "_It8InstallerStartEvents"

[HKCR\Interface\{35D6C638-47A9-4AB4-8E78-E43A1D9C1560}
\ProxyStubClsid]
"(Default)" = "{00020420-0000-0000-C000-000000000046}"

[HKCR\Interface\{35D6C638-47A9-4AB4-8E78-E43A1D9C1560}
\ProxyStubClsid32]
"(Default)" = "{00020420-0000-0000-C000-000000000046}"

[HKCR\Interface\{35D6C638-47A9-4AB4-8E78-E43A1D9C1560}
\TypeLib]
"(Default)" = "{9D9E3ED4-9C56-4800-AA4A-9534F78FD089}"
"Version" = "1.0"

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл вредоноса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Отменить регистрацию вредоносной библиотеки. Для этого следует воспользоваться системной утилитой "regsvr32.exe", запустив ее с параметрами:

   <полный путь к оригинальному файлу вредоноса> /u

3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).