Trojan-Downloader.JS.Agent.gcv

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, использующая уязвимости в продуктах Oracle Java и Adobe Reader/Acrobat для выполнения загрузки и запуска другого вредоносного ПО. Представляет собой HTML документ, который содержит в себе сценарии Java Script. Имеет размер 45082 байта.

Деструктивная активность

После открытия в браузере вредоносной HTML страницы, отображается следующее сообщение:

404 Not Found

Затем, используя сценарии Java Script, вредонос собирает системную информацию, а именно:

• Тип ОС:

  Win
  Mac
  Linux
  FreeBSD
  iPhone
  iPod
  iPad
  Win.*CE
  Win.*Mobile
  Pocket PC
  

• Установленный браузер:

  MS Internet Explorer
  Mozilla Firefox
  Safari
  Chrome
  Opera
  

• Установленные в браузер плагины, а также ActiveX объекты.
• Поддерживаемые браузером MIME типы.
• Версии установленных Java и AdobeReader.

Далее вредонос пытается запустить в браузере пользователя Java-апплет, который располагается по ссылке:

http://<доменное_имя_зараженного_сервера>/games/getJavaInfo.jar

Если в системе установлена Java 5-ой версии до 23-го обновления или 6-ой версии до 18-го – троянец пытается запустить в браузере пользователя апплет, который располагается по ссылке:

http://<доменное_имя_зараженного_сервера>/games/worms.jar

стартуя его со следующими параметрами:

name=' prm'
value='<зашифрованная_ссылка>'

Для апплета, в качестве главного класса, задается класс с именем:

xmlTools.XMLMaker.class

Для выполнения дополнительных вредоносных сценариев, вредонос активирует следующие ActiveX объекты:

Msxml2.XMLHTTP
Msxml2.DOMDocument
Microsoft.XMLDOM
ShockwaveFlash.ShockwaveFlash
TDCCtl.TDCCtl
Shell.UIHelper
Scripting.Dictionary
wmplayer.ocx

Для выполнения Java приложений в браузере вредонос определяет следующие MIME типы:

application/x-java-applet
application/x-java-vm
application/x-java-bean
application/x-java-applet
application/npruntime-scriptable-plugin;deploymenttoolkit
application/java-deployment-toolkit

Используя уязвимость в Java Deployment Toolkit (JDT), которая возникает из-за некорректной обработки URL, что позволяет злоумышленнику передавать произвольные параметры в Java Web Start (JWS) (CVE-2010-0886), злоумышленник специальным образом формирует ссылку и передает ее в качестве параметра уязвимой функции "launch()". Таким образом, троянец, под видом медиа файла, запускает вредоносный Java-апплет:

\\193.**.**.86\pub\new.avi

который загружает и запускает на выполнение вредоносный файл, располагающийся по ссылке:

http://ktr***.cc/d.php?f=360&e=2

Для выполнения вредоносного сценария в MS Internet Explorer, троянец использует ActiveX объекты с уникальными идентификаторами:

{CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA}

{8AD9C840-044E-11D1-B3E9-00805F499D93}

Если установлена Java 6-ой версии 23 обновления - троянец пытается открыть в скрытом фрейме вэб-ресурс:

http://<доменное_имя_зараженного_сервера>/games/java_trust.php?f=360

Также выполняет поиск установленного в браузере плагина "Windows Media Player" и, при нахождении такового, пытается загрузить в скрытом фрейме эксплоит, который располагается по ссылке:

http://<доменное_имя_зараженного_сервера>/games/pch.php?f=360

Далее вредонос определяет установленные в браузере плагины и ActiveX объекты Adobe Reader и Adobe Acrobat. Для выполнения вредоносного сценария в MS Internet Explorer, троянец использует ActiveX объект с уникальным идентификатором:

{CA8A9780-280D-11CF-A24D-444553540000}

Для выполнения в Mozilla Firefox и в других NPAPI браузерах, троянец определяет следующие MIME типы:

application/vnd.adobe.pdfxml
application/vnd.adobe.x-mars

Уязвимые версии Adobe Reader – версия 8.0.0 и более ранние, а также все версии Adobe Reader до 9.3.1. В зависимости от версии установленного "PDF Reader" – открывает вредоносные PDF документы по одной из ссылок:

http://<доменное_имя_зараженного_сервера>/games/1fdp.php?f=360
http://<доменное_имя_зараженного_сервера>/games/1fdp.php?f=360

На момент создания описания ссылки не работали.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Очистить каталог Temporary Internet Files, содержащий инфицированные файлы(Как удалить инфицированные файлы в папке Temporary Internet Files?):

   %Temporary Internet Files%

3. Обновить JRE и JDK до последних версий.
4. Установить обновления:
   http://www.microsoft.com/technet/security/Bulletin/MS10-042.mspx
5. Установить последнюю версию Adobe Reader и Adobe Acrobat.
6. Отключить уязвимые ActiveX объекты (Как отключить запуск элемента управления ActiveX в обозревателе Internet Explorer).
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

[MD5: 268c0fde6d0559931657330fe803f44b]

[SHA1: 69b665549871da20343e857808efe08248e4dfc3]