Worm.Win32.AutoRun.gc

Технические детали

Червь, похищающий пароли пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 97788 байт. Написан на С++.

Инсталляция

После активации червь копирует свое тело в системный каталог Windows под именем "avpo.exe":

Для автоматического запуска при каждом следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

Распространение

Червь копирует свой исполняемый файл на все логические и съемные диски под именем "ntde1ect.com":

Далее в корне каждого каталога червь создает файл "autorun.inf":

который запускает исполняемый файл червя каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник",

где <X> — буква раздела.

Всем созданным файлам червь устанавливает атрибут "скрытый".

Деструктивная активность

Червь извлекает из своего тела динамическую библиотеку DLL под именем "avpo0.dll":

Далее файлу присваивается атрибут "скрытый".
Данный файл имеет размер 31455 байт и детектируется Антивирусом Касперского как Packed.Win32.NSAnti.r.

Данная библиотека внедряется во все запущенные процессы в системе, и с ее помощью производится перехват нажатия клавиш клавиатуры в следующем процессе:

Таким способом, червь пытается похитить информацию об учетных записях игроков для игры:

Также червь анализирует файлы настроек вышеуказанной игры и пытается извлечь из них информацию об учетных записях игрока на игровых серверах.

Собранная информация отправляется на сайт злоумышленникам в HTTP запросе:

Также червь извлекает из своего тела драйвер во временный каталог текущего пользователя Windows под случайно сгенерированным именем:

Где <rnd> — случайная последовательность цифр и букв латинского алфавита, например "qb4y9wm".

Данный файл имеет размер 21810 байт и детектируется Антивирусом Касперского как Rootkit.Win32.Vanti.gl.

Далее драйвер копируется в системный каталог Windows под именем "wincab.sys":

Для запуска драйвера червь использует следующую службу:

Данный драйвер завершает следующие процессы:

KAV
RAV
AVP
KAVSVC

Также скрывает файлы, процессы и ключи реестра, содержащие в имени подстроку "wincab" при помощи подмены обработчиков следующих функций:

в KeServiceDescriptorTable.

Червь изменяет значения следующих параметров ключей системного реестра:

Таким образом, отключается отображение скрытых файлов и включаются функции автозапуска.

Также червь производит загрузку файла со следующего URL:

Загруженный файл сохраняется в системный каталог Windows под именем "help.exe":

После успешного сохранения файл запускается на выполнение.

На момент создания описания по указанной ссылке вредоносных объектов не загружалось.

Червь выгружает из памяти следующие процессы:

rtsniff.exe
packetcapture.exe
peepnet.exe
capturenet.exe
wireshark.exe
aps.exe

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл трояна (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %System%\avpo.exe
   %System%\avpo0.dll
   %System%\wincab.sys
   %System%help.exe

3. Очистить содержимое папки %Temp%.
4. Перезагрузить компьютер.
5. Удалить параметры в ключах системного реестра:
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "avpa" = "%System%\avpo.exe"
   
   [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
   "CheckedValue" = "0"
   
   [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   "Hidden" = "2"
   
   [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   "ShowSuperHidden" = "0"
   
   [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Pocilies\Explorer]
   "NoDriveTypeAutoRun" = "91"
6. Очистить каталог %Temporary Internet Files%.
7. Удалить файлы со всех дисков:
   X:\ntde1ect.com
   X:\autorun.inf
   где <X> — буква диска.
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).