Worm.Win32.AutoIt.tc

Технические детали

Червь, создающий свои копии на локальных дисках и доступных для записи сетевых ресурсах. Является скомпилированным скриптом AutoIt. Имеет размер 808842 байта.

Инсталляция

После запуска червь выполняет следующие действия:

• копирует свое тело в файл:

  %System%\csrcs.exe

  Файл создается с атрибутами "скрытый" (hidden) и "системный" (system).
• Для автоматического запуска созданной копии при каждом следующем старте системы червь создает следующие ключи системного реестра:
  [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
  "csrcs" = "%System%\csrcs.exe"
  
  [HKLM\Software\Microsoft\Windows\
  CurrentVersion\policies\explorer\run]
  "csrcs" = "%System%\csrcs.exe"
  
  [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
  "Shell" = "Explorer.exe csrcs.exe"
  При этом исполняемый файл червя будет запускаться процессом "WINLOGON.EXE" даже при загрузке Windows в "Безопасном режиме".
• Для отключения отображения скрытых файлов и каталогов изменяются значения следующих ключей системного реестра:
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
  "Hidden" = "2"
  "SuperHidden" = "0"
  "ShowSuperHidden" = "0"
  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
  Advanced\Folder\Hidden\Showall]
  "CheckedValue" = "1"
  После этого червь запускает созданную копию и завершает свою работу.

Распространение

Червь копирует свое тело на все доступные для записи сетевые, логические и съемные диски под случайным именем (например: "bxxtic.exe").

Вместе со своим исполняемым файлом червь помещает файл:

<имя зараженного раздела>:\autorun.inf

что позволяет ему запускаться каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Созданным файлам присваиваются атрибуты "скрытый" (hidden) и "системный" (system).

Деструктивная активность

После запуска червь выполняет следующие действия:

• для идентификации своего присутствия в системе создает ключи системного реестра:
  [HKLM\Software\Microsoft\DRM\amty]
  "ilop" = "1"
  "rem1" = "1"
  "exp1" = "408406541BC5BBE4DC197A2A0C46B9ABF2F90D96B151D7C7BCBD177641EE95F1"
  "epb1" = "noneed"
  "cb2" = "noneed"
  "ic1" = "noneed"
  "regexp" = "-0.82930983286315"
• Удаляет ключ системного реестра:
  [HKLM\Software\Microsoft\Windows\CurrentVersion\
  policies\explorer\run]
  "Logitech SetPoint"
• Создает следующие файлы:

  %Temp%\aut<digit>.tmp

  (9976 байт)

  %Temp%\<rnd>.tmp

  (57982 байта)
  
  где <digit> – случайное шестнадцатеричное число, а <rnd> – случайная последовательность латинских букв (например: "aslbvjd").
  
  Файлы предназначены для временного использования, и удаляются в процессе работы червя.

  %System%\autorun.in

  (1061 байт)

  %System%\autorun.i

  (751 байт)
  
  Файлы содержат следующие строки:

   [Autorun]
  Open=csrcs.exe
  Shellexecute=csrcs.exe
  Shell\Open\command=csrcs.exe
  Shell=Open

• Определяет IP-адрес зараженного компьютера при помощи ресурса:

  www.whatismyip.com

• Выполняет попытку соединения со следующими хостами:

  geo****guo.com
  www.d0***23.com

  Созданное соединение используется для загрузки файлов. Загруженные файлы сохраняются под случайными именами в каталоге:

  %Temporary Internet Files%

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить процесс "csrcs.exe".
2. Удалить ключи системного реестра (как работать с реестром?):
   [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
   "csrcs" = "%System%\csrcs.exe"
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\
   policies\explorer\run]
   "csrcs" = "%System%\csrcs.exe"
   
   [HKLM\Software\Microsoft\DRM\amty]
   "ilop" = "1"
   "rem1" = "1"
   "exp1" = "408406541BC5BBE4DC197A2A0C46B9ABF2F90D96B151D7C7BCB
   D177641EE95F1"
   "epb1" = "noneed"
   "cb2" = "noneed"
   "ic1" = "noneed"
   "regexp" = "-0.82930983286315"
3. Удалить подстроку "csrcs.exe" в значении ключа системного реестра (как работать с реестром?):
   [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "Shell" = "Explorer.exe csrcs.exe"
4. Восстановить исходные значения ключей системного реестра (как работать с реестром?):
   [HKCU\Software\Microsoft\Windows\
   CurrentVersion\Explorer\Advanced]
   "Hidden" = "2"
   "SuperHidden" = "0"
   "ShowSuperHidden" = "0"
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
   Advanced\Folder\Hidden\Showall]
   "CheckedValue" = "1"
5. Удалить файлы:

   %System%\csrcs.exe
   <имя зараженного раздела>:\autorun.inf
   %System%\autorun.in 
   %System%\autorun.i 

6. Удалить копию червя со всех зараженных сетевых, логических и съемных дисков.
7. Очистить каталог (Как удалить инфицированные файлы в папке Temporary Internet Files?):

   %Temporary Internet Files%

8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).