Trojan.JS.Agent.jp

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является файлом сценария языка Visual Basic Script. Имеет размер 8432 байта.

Инсталляция

После запуска троянец производит расшифровку своего тела, для этого он создает свою расшифрованную версию с именем "<rnd>.tmp" (где <rnd> — набор случайных цифр и больших латинских букв, например, "radDC8RP"):

%Temp%\<rnd>.tmp

Данный файл имеет размер 7229 байт и детектируется антивирусом Касперского как Worm.VBS.Agent.w.

Троянец создает копии своего оригинального тела во всех каталогах и подкаталогах всех дисков компьютера пользователя, а также в следующем каталоге:

%MyDocuments%\database.mdb

В тех же каталогах троянец создает файл:

autorun.inf

Данный файл имеет размер 237 байт и детектируется антивирусом Касперского как Worm.Win32.AutoRun.wuw.

Этот файл предназначен для автоматического запуска троянца при обращении к зараженным каталогам через проводник Windows после перезагрузки системы.

В зависимости от текущей даты троянец может создать копии своего оригинального тела во всех подкаталогах каталога:

%MyDocuments%

а также в самом каталоге со следующими именами:

My name is Yuyun.rtf
Baca AQ.rtf

Троянец распространяется по сети, создавая свои копии во всех подкаталогах каталога:

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

Если на диске C: компьютера пользователя использовалась файловая система "NTFS", тогда троянец создает свою копию с именем "Microsoft Office Update for Windows XP.sys":

%WinDir%\Microsoft Office Update for Windows XP.sys

и записывает следующую информацию в ключ автозапуска системного реестра:

Троянец также может распространяться через зараженные CD диски, для этого он создает свою копию, а также файл его автозапуска в следующем каталоге:

%ApplicationData%\Microsoft\CD Burning\thumb.db
%ApplicationData%\Microsoft\CD Burning\autorun.inf

Всем копиям троянца, а также файлам его автозапуска устанавливаются атрибуты "Только чтение", "Скрытый", "Архивный" и "Системный".

Деструктивная активность

Троянец создает во временном каталоге текущего пользователя Windows пустой файл с именем "Yuyun.Q":

%Temp%\Yuyun.Q

После этого троянец создает файл с именем "auto.exe":

%Temp%\auto.exe

Данный файл имеет размер 237 байт и детектируется антивирусом Касперского как Worm.Win32.AutoRun.wuw.

Затем троянец создает файл "v.doc":

%Temp%\v.doc

Если троянец был запущен на исполнение впервые, а также в зависимости от текущей даты, данный файл открывается с использованием приложения "notepad.exe". Этот файл выглядит следующим образом:

Во всех каталогах и подкаталогах всех дисков компьютера пользователя троянец создает ярлыки с именами подкаталогов находящихся в этих каталогах, файл-ярлык с именем "Microsoft.lnk", а также файл с одним из следующих имен, зависящий от текущей даты:

New Harry Potter and....lnk
New Folder.lnk
SuratQ.lnk
Rahasia.lnk
Game.lnk
Zvnita.lnk
Download.lnk
DataQ.lnk

При запуске данных файлов-ярлыков на исполнение будут запускаться копии файла троянца, а также каталог с именем файла-ярлыка, если же каталога с именем файла-ярлыка не существовало, тогда троянец создает таковой.

Далее троянец записывает следующую информацию в системный реестр:

• Блокирует доступ к системному реестру Windows:
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
  "DisableRegistrytools" = "REG_DWORD:00000001"
• Скрывает расширения для файлов-ярлыков, удалив ключ:

   [HKCR\lnkfile\IsShortcut] 

Если на момент запуска троянца было 1 число любого месяца, тогда троянец записывает следующую информацию в ключи системного реестра:

После этого троянец завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи ( "Диспетчера задач") завершить процесс:

   Wscript.exe

2. Выполнить следующую команду в командной строке для доступа к редактору реестра:
   reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools
3. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
4. Удалить файлы:

   %MyDocuments%\database.mdb
   %MyDocuments%\My name is Yuyun.rtf
   %MyDocuments%\Baca AQ.rtf
   %Temp%\v.doc
   %Temp%\Yuyun.Q
   %Temp%\auto.exe
   %Temp%\<rnd>.tmp
   %WinDir%\Microsoft Office Update for Windows XP.sys
   %ApplicationData%\Microsoft\CD Burning\thumb.db
   %ApplicationData%\Microsoft\CD Burning\autorun.inf

5. Удалить параметры в ключах реестра (как работать с реестром?):
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "Explorer" = "Wscript.exe //e:VBScript %MyDocuments%\database.mdb"
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "WinUpdate" = "Wscript.exe //e:VBScript %WinDir%\:Microsoft Office Update for Windows XP.sys"
6. Удалить ветвь реестра:
   [HKCR\CLSID\{11111111-2222-3333-4444-555555555555}]
   HKLM\Software\Microsoft\Windows\CurrentVersion\explorer\Desktop\NameSpace\{11111111-2222-3333-4444-555555555555}"
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).