Exploit.Win32.Pidief.ddl

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Программа-эксплоит, использующая для своего выполнения на компьютере пользователя уязвимости в продуктах Adobe – Reader и Acrobat. Является PDF документом содержащим сценарии языка Java Script. Имеет размер 15177 байт.

Деструктивная активность

После открытия вредоносного PDF документа, эксплоит использует Adobe XML Forms для запуска на выполнение обфусцированного вредоносного Java Script, который содержит в себе основную часть кода эксплоита. Затем вредонос использует уязвимость в библиотеке "icucnv36.dll", выполняя переполнение буфера, которое возникает при вызове уязвимого метода одной из функций utrie_set32_3_6() и utrie_setRange32_3_6(). При успешной эксплуатации уязвимости, эксплоит выполняет загрузку файла, который располагается по ссылке:

http://flo***g.info/nte/avorp1vena.exe/yUa89f46e4Hcca4793eV0
4f04753003R00000000102T8043eeb7Q00000000901800F0067010a
J16000601l08093290

и сохраняет его во временный каталог текущего пользователя с именем:

%Temp%\ciJe.dll

Затем вредонос, при помощи командной строки, запускает вредоносную библиотеку:

regsvr32 -s %Temp%\ciJe.dll

На момент создания описания ссылка не работала.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Выполнить в командной строке команду:

   regsvr32 -u %Temp%\ciJe.dll

3. Очистить каталог:

   %Temp%\

4. Установить обновления: http://www.adobe.com/support/security/bulletins/apsb10-07.html
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).