RSS-каналы
Уровень опасности: 1
Virus.Win32.Virut.ce
| Время детектирования | 29 окт 2009 18:07 MSK |
| Время выпуска обновления | 24 май 2012 01:06 MSK |
| Описание опубликовано | 29 окт 2009 18:07 MSK |
Деструктивная активность
Рекомендации по удалению
Технические детали
Файловый вирус, который заражает исполняемые файлы Windows. Является вредоносным кодом, который содержится в исполняемых файлах Windows PE-EXE. Размер тела вируса – около 17 КБ., вирус использует полиморфное шифрование, из-за чего размер тела варьируется.
Распространение
Вирус внедряет свой код в адресное пространство всех запущенных в системе процессов. Внедренный код перехватывает следующие системные функции в библиотеке ntdll.dll:NtCreateFile NtCreateProcess NtCreateProcessEx NtOpenFile NtQueryInformationProcessпри помощи которых следит за открываемыми файлами и запускаемыми приложениями. При обнаружении запуска нового процесса или открытия исполняемого файла вирус производит его заражение. Заражаются файлы с расширениями .EXE и .SCR, которые являются приложениями Windows (PE-EXE). Вирус не заражает файлы, которые содержат в своем имени следующие строки : “WINC”, “WCUN”, “WC32”, “PSTO”. При заражении вирус расширяет последнюю PE-секцию заражемого файла и записывает туда свое полиморфное тело, после чего перенаправляет точку входа в программу на себя.
Деструктивная активность
Вирус добавляет исполняемый файл процесса, в котором работает в список доверенных приложений Windows Firewall.
Отключает функцию восстановления системных файлов.
Вирус пытается соединиться со следующими IRC серверами:
prox*****ircgalaxy.pl irc*****ef.plесли ему это удается, посылает серверу следующие команды:
NICK dewxxpyi USER b JOIN #.<rnd1>, где rnd1 – случайное числоПосле этого вирус переходит в режим приема команд от IRC сервера злоумышленников и выполняет их.
Вирус поддерживает следующие команды :
- !get - загрузка из интернет вредоносного кода и внедрение его в процессы на машине пользователя.
- !hosu - открытие указанных URL с компьютера пользователя.
Так же вирус сканирует жесткий диск компьютера в поисках файлов с расширениями
HTM PHP ASPи если находит вставляет в них следующую строку:
style="border:0"></iframe>
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо воспользоваться Антивирусом Касперского: произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению по локальным ресурсам компьютера.
В отличие от червей, вирусы не используют сетевых сервисов для своего распространения и проникновения на другие компьютеры. Копия вируса попадает на удалённые компьютеры только в том случае, если заражённый объект по каким-либо не зависящим от функционала вируса причинам оказывается активизированным на другом компьютере, например:
- при заражении доступных дисков вирус проник в файлы, расположенные на сетевом ресурсе;
- вирус скопировал себя на съёмный носитель или заразил файлы на нем;
- пользователь отослал электронное письмо с зараженным вложением.
Virus.
- Trojan.
Win32. Genome. aeywa («Лаборатория Касперского») - Trojan.
Win32. Vilsel. bevv («Лаборатория Касперского») - Email-Worm.
Win32. Brontok. se («Лаборатория Касперского») - Email-Worm.
Win32. Brontok. sd («Лаборатория Касперского») - Trojan.
Win32. Genome. sdlo («Лаборатория Касперского») - Worm.
Win32. AutoRun. bzax («Лаборатория Касперского») - Worm.
Win32. AutoRun. byqn («Лаборатория Касперского») - Trojan.
Win32. Autoit. aji («Лаборатория Касперского») - IM-Worm.
Win32. VB. akl («Лаборатория Касперского») - Worm.
Win32. Zombaque. l («Лаборатория Касперского») - Worm.
Win32. AutoRun. hmn («Лаборатория Касперского») - Trojan.
Win32. Refroso. cbmr («Лаборатория Касперского») - Trojan-PSW.
Win32. QQPass. xqo («Лаборатория Касперского») - Worm.
Win32. VB. bbo («Лаборатория Касперского») - Trojan.
Win32. Vilsel. cfb («Лаборатория Касперского») - Hoax.
Win32. Sality. ae («Лаборатория Касперского») - P2P-Worm.
Win32. Sality. ae («Лаборатория Касперского») - Trojan-Downloader.
Win32. Virut. ce («Лаборатория Касперского») - Trojan-SMS.
Win32. Virut. ce («Лаборатория Касперского») - Trojan.
Win32. Virut. ce («Лаборатория Касперского») - Hoax.
Win32. Virut. ce («Лаборатория Касперского») - Backdoor.
Win32. Virut. ce («Лаборатория Касперского») - Worm.
Win32. AutoRun. fya («Лаборатория Касперского») - Virus.
Win32. Sality. ae («Лаборатория Касперского») - Virus.
Win32. Sality. ae («Лаборатория Касперского») - Virus.
Win32. Sality. ae («Лаборатория Касперского») - Backdoor.
Win32. IRCBot. ihd («Лаборатория Касперского») - Virus:
W32/Virut. n. gen (McAfee) - W32.
Changeup. 8657 (Symantec) - W32.
Virut. CF. 37843 (Symantec) - W32/Scribble-B (Sophos)
- W32/Sality.
AO (Panda) - Virus:
Win32/Virut. BN (MS(OneCare)) - Win32.
Virut. 56 (DrWeb) - Win32.
Virtob. Gen. 12 (BitDef7) - Win32.
Virut. AB. Gen (VirusBuster) - Win32:
VB-YDQ [Trj] (AVAST) - File was not downloaded for scan (AVAST)
- Gen.
Trojan. Heur (Ikarus) - Trojan.
Win32. Spy (Ikarus) - Win32/DH.
FF81010B{40580000-00001000-00000000-00000000} (AVG) - Win32/Virut (AVG)
- W32/Virut.
gen (AVIRA) - W32/Virut.
HL (Norman) - W32/Virut.
EH (Norman) - Win32.
Virut. dy (Rising) - Win32.
Virtob. Gen. 12 [Aquarius] (FSecure) - PE_VIRUX.
R (TrendMicro) - Virus.
Win32. Virut. ce (v) (Sunbelt) - Virus.
Win32. Virut. ce. 5 (v) (Sunbelt) - Win32.
Virut. AB. Gen (VirusBusterBeta) - W32/Virut.
CE (Fortinet) - Win32.
Virtob. Gen. 12 (GData)
© ЗАО «Лаборатория Касперского», 1997-2012
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей