Worm.Win32.AutoRun.bhx

Технические детали

Червь, создающий свои копии на съемных носителях информации. Является приложением Windows (PE-EXE файл). Имеет размер 115760 байт.

Инсталляция

После запуска червь копирует свой исполняемый файл в системный каталог Windows:

Для автоматического запуска при каждом следующем старте системы червь добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

Также червь извлекает из своего тела следующий файл:

Данный файл имеет размер 89088 байт и детектируется Антивирусом Касперского как Trojan-PSW.Win32.OnLineGames.mbs.

Также червь извлекает из своего тела файл размером 31545 байт:

Распространение

Червь копирует свой исполняемый файл в корень каждого раздела со следующим именем:

Также вместе со своим исполняемым файлом червь помещает в корень каждого диска сопровождающий файл:

где <X> – буква раздела.

Данный файл запускает исполняемый файл червя каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Деструктивная активность

Червь подгружает извлеченную библиотеку во все запущенные в системе процессы.

Также червь перехватывает нажатия клавиш клавиатуры и мыши, если запущен один из следующих процессов:

Червь собирает информацию об учетных записях игроков следующих игр:

Собранные данные отправляются на сайт злоумышленника.

Также червь изменяет значения следующих параметров ключей системного реестра:

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить файл:
   %System%\kavo.exe
2. Перезагрузить компьютер.
3. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
4. Удалить параметры в ключах системного реестра:
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "kava" = "%System%\kavo.exe"
   [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
   "CheckedValue" = "0"
   [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   "Hidden" = "2"
   [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   "ShowSuperHidden" = "0"
   [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Pocilies\Explorer]
   "NoDriveTypeAutoRun" = "0x91"
5. Удалить файлы:
   %Temp%\<rnd>.dll
   %System%\kavo0.dll
6. Удалить файлы со всех съемных дисков:
   <X>:\XAdeIect.com
   <X>:\autorun.inf
   где <X> – буква диска.
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).