Worm.Win32.AutoRun.gvy

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Червь, создающий свои копии на локальных и доступных для записи съемных дисках. Является приложением Windows (PE-EXE файл). Имеет размер 133000 байт. Написан на C++.

Инсталляция

После запуска червь выполняет следующие действия:

• находит в системе процессы, в адресное пространство которых подгружены модули:

  %System%\wmiprvse.exe
  %Temp%\wmiprvse.exe
  %ALLUSERSPROFILE%\Application Data\winmgmt.exe
  

  и завершает их.
• Удаляет файлы:

  %System%\wmiprvse.exe
  %Temp%\wmiprvse.exe
  %ALLUSERSPROFILE%\Application Data\winmgmt.exe
  

• Для контроля уникальности своего процесса в системе создает уникальные идентификаторы с именами:

  Program52Mutex
  Program50Mutex
  Program42Mutex
  ProgramLQBMutex
  

• Скрывает расширения для .exe файлов в Проводнике Windows, создавая следующие ключи системного реестра:

  [HKCR\exefile]
  "NeverShowExt"
  
  [HKLM\Software\Classes\exefile]
  "NeverShowExt"
  

• Запрещает отображение скрытых файлов в Проводнике Windows, изменяя для этого ключи:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\
  Explorer\Advanced]
  "ShowSuperHidden" = "0" 
  "SuperHidden" = "1"
  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
  Advanced\Folder\SuperHidden]
  "UncheckedValue" = "0"
  

• Копирует свое тело в следующий файл:

  %ALLUSERSPROFILE%\Application Data\wmimgmt.exe

  Копия создается с атрибутом "скрытый" (hidden).
• Для автоматического запуска созданной копии при каждом следующем старте системы создает ключ системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
  "wmi32" = "%ALLUSERSPROFILE%\Application Data\wmimgmt.exe"
  

• Запускает на выполнение созданную копию.

Распространение

Червь копирует свое тело на все доступные для записи съемные диски под следующим именем:

<имя зараженного раздела>:\RECYCLER\wmimgmt.exe

Вместе со своим исполняемым файлом червь помещает файл:

<имя зараженного раздела>:\AuToRUn.iNf

(1769 байт; детектируется Антивирусом Касперского как "Worm.Win32.AutoRun.gvy")

который обеспечивает червю возможность запускаться каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Созданным файлам присваиваются атрибуты "скрытый" (hidden), "системный" (system), "только чтение" (read only).

Кроме того, червь создает в корне зараженного съемного диска копии, имена которых соответствуют именам каталогов, найденных там.

Деструктивная активность

После запуска червь для контроля уникальности своего процесса в системе создает уникальные идентификаторы с именами:

ProgramLQBMutex
DB_F_PROTECT

Червь реализует функционал бэкдора, и предоставляет возможность злоумышленнику загружать на зараженный компьютер другие вредоносные программы, запускать их, а также получать различную информацию о зараженной системе. Параметры подключения к серверу злоумышленника червь считывает из файлов:

%ALLUSERSPROFILE%\DRM\Media\AB4A4DB3.db
%ALLUSERSPROFILE%\line.dat

Информацию о зараженной системе червь собирает посредством запуска сценария командного интерпретатора, извлекаемого из своего тела:

%Temp%\ghi.bat (3346 байт)

Полученная информация включает:

• сведения об установленных операционных системах;
• значения переменных окружения;
• имя компьютера;
• информация о центральном процессоре;
• список запущенных в системе процессов.

Собранные данные записываются в файл:

%Temp%\INFO.TXT

и в зашифрованном виде отправляются злоумышленнику.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Перезагрузить компьютер в «безопасном режиме» (в самом начале загрузки нажать и удерживать клавишу «F8», затем выбрать пункт «Safe Mode» в меню загрузки Windows).
2. Удалить ключи системного реестра (как работать с реестром?):

   [HKCR\exefile]
   "NeverShowExt"
   
   [HKLM\Software\Classes\exefile]
   "NeverShowExt"
   
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "wmi32" = "%ALLUSERSPROFILE%\Application Data\wmimgmt.exe"
   

3. Восстановить оригинальные значения ключей системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   Advanced]
   "ShowSuperHidden" = "0" 
   "SuperHidden" = "1"
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
   Advanced\Folder\SuperHidden]
   "UncheckedValue" = "0"
   

4. Удалить файлы:

   %ALLUSERSPROFILE%\Application Data\wmimgmt.exe
   <имя зараженного раздела>:\RECYCLER\wmimgmt.exe
   <имя зараженного раздела>:\AuToRUn.iNf
   %ALLUSERSPROFILE%\DRM\Media\AB4A4DB3.db
   %ALLUSERSPROFILE%\line.dat
   %Temp%\ghi.bat
   %Temp%\INFO.TXT
   

5. Удалить копии червя, созданные в корневых каталогах инфицированных съемных дисков.
6. Удалить оригинальный файл червя (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
7. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 133000 байт.

Инсталляция

После запуска создает свои копии под следующими именами:

• Каталог хранения Пользовательских настроек%Documents and Settings%\All Users\Application Data\wmimgmt.exe

Вредоносная активность

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• Program52Mutex
• Program50Mutex
• Program42Mutex
• ProgramLQBMutex

Прочие действия

Производит запуск следующих файлов (команд):

• Каталог хранения Пользовательских настроек%Documents and Settings%\All Users\Application Data\wmimgmt.exe

Удаляет следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\temp.vih
• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\wmiprvse.exe
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\wmiprvse.exe
• Каталог хранения Пользовательских настроек%Documents and Settings%\All Users\Application Data\winmgmt.exe