Exploit.JS.Pdfka.egr

Технические детали

Программа-эксплоит, использующая для своего выполнения на компьютере пользователя уязвимости в продуктах Adobe – Reader и Acrobat. Файл представляет собой XFA (XML Forms Architecture) форму, которая содержит в себе вредоносный сценарий языка Java Script. Имеет размер 61136 байт.

Деструктивная активность

Инициализация и запуск вредоносного содержимого XFA формы происходит после открытия специально созданного зараженного PDF документа, который содержит в себе данную форму. В качестве обработчика события "initialize" в XFA форме, используется обфусцированный вредоносный сценарий Java Script. После снятия обфускации, вредонос использует уязвимость, которая возникает из-за переполнения буфера при некорректной обработке аргументов в "libtiff.dll" (CVE-2010-0188), для выполнения загрузки файла, который располагается по ссылке:

http://vaskda***e.ms/d.php?f=360&e=6

Затем вредонос сохраняет файл в каталог хранения временных файлов браузера:

%Temporary Internet Files%\<имя_временного_файла>

После успешного сохранения - запускает загруженный файл на исполнение. Загруженный файл имеет размер 34304 байт и детектируется антивирусом Касперского как Trojan-Ransom.Win32.PornoAsset.akv.Уязвимыми являются продукты Adobe Reader и Acrobat 8 (до версии 8.2.1) и 9 (до версии 9.3.1).

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Очистить каталог Temporary Internet Files, содержащий инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?):

   %Temporary Internet Files%

3. Выполнить обновление продуктов Adobe Reader и Acrobat или установить обновления:

   http://www.adobe.com/support/security/bulletins/apsb10-07.html

4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: 0e7597d64683ae34a859ccf6574a5e5e

SHA1: 55c9182e85b8b8622ad6f048d4ea85b651f81c77