Exploit.Win32.Pidief.ddn

Технические детали

Программа-эксплоит, использующая для своего выполнения на компьютере пользователя уязвимости в продуктах Adobe – Reader и Acrobat. Файл представляет собой PDF документ, содержащий XFA (XML Forms Architecture) форму, которая хранит в себе вредоносный шелл-код. Имеет размер 2655 байт.

Деструктивная активность

Вредоносный PDF документ содержит в себе сжатый поток данных, который, после открытия документа, распаковывается и представляет собой XFA форму. Вредонос использует уязвимость, которая возникает из-за переполнения буфера при некорректной обработке аргументов в "libtiff.dll" (CVE-2010-0188), для выполнения загрузки файла, который располагается по ссылке:

http://on***al.me/smoke//drop.php?e=Adobe-90-2010-0188

Затем вредонос сохраняет файл в рабочем каталоге с именем:

%WorkDir%\update.exe

После успешного сохранения - запускает загруженный файл на исполнение. На момент создания описания ссылка не работала. Также вредонос создает в рабочем каталоге бинарный файл с вредоносным шелл-кодом:

%WorkDir%\Version

Файлу устанавливается атрибут "Скрытый". Уязвимыми являются продукты Adobe Reader и Acrobat 8 (до версии 8.2.1) и 9 (до версии 9.3.1).

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %WorkDir%\update.exe
   %WorkDir%\Version
   

3. Очистить каталог Temporary Internet Files, содержащий инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?):

   %Temporary Internet Files%

4. Выполнить обновление продуктов Adobe Reader и Acrobat или установить обновления:

   http://www.adobe.com/support/security/bulletins/apsb10-07.html

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: e8c8732c3de6e8617747bc229fca14ea

SHA1: a0fd602797945304e649eaf8edf9a7b4655f2996