Trojan.Win32.Qhost.mbo

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 65536 байт. Написана на Visual Basic.

Инсталляция

Для автоматического запуска при следующем старте системы троянец добавляет запись в ключ автозапуска системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"GoogleUpdate"="<WorkDir>\<имя вредоноса>"

Деструктивная активность

После запуска троянец удаляет файл:

c:\avenger.txt

Затем модифицирует файл:

c:\windows\system32\drivers\etc\hosts

В который записывает следующие данные:

198.106.116.204 visanet.com.br
198.106.116.204 www.visanet.com.br
198.106.116.204 www.openbank.es
198.106.116.204 openbank.es
198.106.116.204 www.lacaixa.es
198.106.116.204 lacaixa.es
198.106.116.204 www.bancoreal.com.br
198.106.116.204 www.real.com.br
198.106.116.204 www.real.com.br
198.106.116.204 www.itau.com.br
198.106.116.204 itau.com.br
198.106.116.204 www.itaupersonnalite.com.br
198.106.116.204 itaupersonnalite.com.br
198.106.116.204 www.itauprivatebank.com.br
198.106.116.204 itauprivatebank.com.br
198.106.116.204 www.bb.com.br
198.106.116.204 bb.com.br
198.106.116.204 www.bb.gov.br
198.106.116.204 bb.gov.br
198.106.116.204 bradesco.com.br
198.106.116.204 www.bradesco.com.br
198.106.116.204 www.bradescoprime.com.br
198.106.116.204 bradescoprime.com.br
198.106.116.204 bradescojuridico.com.br
198.106.116.204 www.checktudo.com.br
198.106.116.204 checktudo.com.br
198.106.116.204 www.infoseg.gov.br
198.106.116.204 infoseg.gov.br
198.106.116.204 www.real.com.br
198.106.116.204 real.com.br
198.106.116.204 www.bradescojuridico.com.br
198.106.116.204 santander.com.br
198.106.116.204 www.santander.com.br
198.106.116.204 banespa.com.br
198.106.116.204 www.nossacaixa.com.br
198.106.116.204 nossacaixa.com.br
198.106.116.204 www.unibanco.com.br
198.106.116.204 unibanco.com.br
198.106.116.204 www.banespa.com.br
198.106.116.204 banespa.com.br
198.106.116.204 www.itauprivatebank.com.br
198.106.116.204 itauprivatebank.com.br
198.106.116.204 caixacatalunya.es
198.106.116.204 www.caixacatalunya.es
198.106.116.204 banesto.es
198.106.116.204 www.banesto.es
198.106.116.204 www.cajamadrid.es
198.106.116.204 cajamadrid.es
198.106.116.204 www.bbva.es
198.106.116.204 bbva.es
198.106.116.204 serasa.com.br
198.106.116.204 www.serasa.com.br
198.106.116.204 www.cam.es
198.106.116.204 cam.es

198.106.116.204 portal.lacaixa.es
198.106.116.204 www.banespa.com.br
198.106.116.204 www.caixa.com.br
198.106.116.204 caixa.com.br
198.106.116.204 www.caixaeconomicafederal.com.br
198.106.116.204 caixaeconomicafederal.com.br
198.106.116.204 www.cef.com.br
198.106.116.204 cef.com.br
198.106.116.204 www.caixa.gov.br
198.106.116.204 caixa.gov.br
198.106.116.204 www.caixaeconomica.com.br
198.106.116.204 caixaeconomica.com.br
198.106.116.204 www.caixaeconomica.gov.br
198.106.116.204 caixaeconomica.gov.br
198.106.116.204 www.cef.gov.br
198.106.116.204 www.caixaeconomicafederal.gov.br
198.106.116.204 caixaeconomicafederal.gov.br
198.106.116.204 cetelem.com.br
198.106.116.204 www.cetelem.com.br
198.106.116.204 citibank.com.br
198.106.116.204 www.citibank.com.br
198.106.116.204 www.pagamentodigital.com.br
198.106.116.204 pagamentodigital.com.br
198.106.116.204 www.cartaobndes.gov.br
198.106.116.204 cartaobndes.gov.br
198.106.116.204 americanas.com.br
198.106.116.204 www.americanas.com.br
198.106.116.204 americanas.com
198.106.116.204 www.americanas.com

Далее троянец загружает файлы со следующих URL адресов:

http://damdang.vn/images/atual.txt
http://damdang.vn/images/atual.gif

На момент создания описания ссылки не работали.

Загруженные файлы троянец сохраняет под следующими именами:

<WorkDir>\local.txt
<WorkDir>\atual.exe

После этого троянец запускает на выполнение файл "atual.exe".

Также троянец скрывает окно с заголовком:

avenger - Bloco de notas

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить вредоносный процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "GoogleUpdate"="<WorkDir>\<имя вредоноса>"
   

4. Восстановить оригинальное содержимое файла:

   c:\windows\system32\drivers\etc\hosts

   которое по умолчанию имеет следующий вид:

   # (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
   #
   # Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
   #
   # Этот файл содержит сопоставления IP-адресов именам узлов.
   # Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
   # находиться в первом столбце, за ним должно следовать соответствующее имя.
   # IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
   #
   # Кроме того, в некоторых строках могут быть вставлены комментарии 
   # (такие, как эта строка), они должны следовать за именем узла и отделяться
   # от него символом '#'.
   #
   # Например:
   #
   #      102.54.94.97     rhino.acme.com          # исходный сервер
   #       38.25.63.10     x.acme.com              # узел клиента x
   
   127.0.0.1       localhost
   

5. Удалить файлы:

   <WorkDir>\local.txt
   <WorkDir>\atual.exe
   

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: 9C0DDEE58E1AA5DACCEBF94867F3D8B6

SHA1: CED2977BD9262E665AE82015AE33E5349A0A622E

Дополнительная информация

	­Рейтинг опасности (KLAD)­
	35

Резюме

• Trojan. Выполняет действия, характерные для вредоносных программ

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 65536 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• c:\atual.txt

Обеспечивает Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузку следующих установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Run ] "GoogleUpdate" = "<­путь к исходной программе­><­файл исходной программы­>"

Вредоносная активность

Модифицирует (удаляет) системные файлы ОС Windows:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\drivers\etc\hosts
  Описание:
  ­Модифицирует файл HOSTS (%System%\drivers\etc\hosts), прописывая туда собственные соответствия. Это приводит к тому, что при обращении к перечисленным серверам, операционная система обнаруживает соответствия в файле HOSTS и направляет запросы на другой IP-адрес­

Обращается к следующим адресам в Интернете:

• http://***dang.vn/images/atual.txt

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• ZonesCounterMutex
• ZonesCacheCounterMutex
• ZonesLockedCacheCounterMutex
• RasPbFile

Прочие действия

Ищет следующие окна:

Заголовок:	avenger - Bloco de notas
Класс:	Shell_TrayWnd