Russian

Вход

Поиск

Интернет находится в нормальном состоянии, крупных эпидемий и других серьезных инцидентов службой мониторинга «Лаборатории Касперского» не зафиксировано.

Уровень опасности: 1

Следите в

Главная→Описания→Exploit.JS.Pdfka.cbo

Exploit.JS.Pdfka.cbo

Время детектирования	20 апр 2010 08:03 MSK
Время выпуска обновления	20 апр 2010 15:20 MSK
Описание опубликовано	17 сен 2010 14:27 MSK

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Программа-эксплоит, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является PDF документом содержащим сценарии языка Java Script. Имеет размер 32561 байт.

Деструктивная активность

Вредоносный PDF документ содержащий в себе сжатые потоки данных, которые, после открытия документа, распаковываются и представляют собой обфусцированный сценарий Java Script. Для выполнения вредоносного кода эсплоит использует уязвимости, которые существуют при обработке методов "media.newPlayer" (CVE-2009-4324), при вызове функций Collab.collectEmailInfo() (CVE-2007-5659), Collab.GetIcon() (CVE-2009-0927) и util.printf() (CVE-2008-2992), в продуктах Adobe Reader и Adobe Acrobat версий 9.1, 8.2.2 и более ранних. При успешной эксплуатации уязвимости, вредонос загружает файл по ссылкам:

http://ero***res.com/2/a/d/0.php?&0.php?spl=pdf&h=1415
http://ero***res.com/2/a/d/0.php?&1.php?spl=pdf&h=1946
http://ero***res.com/2/a/d/0.php?&2.php?spl=pdf&h=1321
http://ero***res.com/2/a/d/0.php?&3.php?spl=pdf&h=1748

На момент создания описания ссылки не работали.

При успешной загрузке скачанный файл записывается во временный каталог текущего пользователя под именем:

%Temp%\e.exe

После чего запускается на выполнение и эксплоит завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
Удалить файл:
```
%Temp%\e.exe
```
Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?):
```
%Temporary Internet Files%
```
В случае использования продуктов Adobe Reader или Adobe Acrobat, выполнить обновление приложений до актуального состояния.
Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Печать

Закладки

Вредоносные программы

Троянские программы

Exploit

Программы, в которых содержатся данные или исполняемый код, позволяющие использовать одну или несколько уязвимостей в программном обеспечении на локальном или удаленном компьютере с заведомо вредоносной целью.

Обычно эксплойты используются злоумышленниками для проникновения на компьютер-жертву с целью последующего внедрения туда вредоносного кода (например, заражение всех посетителей взломанного веб-сайта вредоносной программой). Также эксплойты интенсивно используются программами типа Net-Worm для проникновения на компьютер-жертву без участия пользователя.

Широко известны также так называемые программы-Nuker'ы, которые отправляют на локальный или удаленный компьютер специальным образом сформированные запросы, в результате чего система прекращает свою работу.

Другие модификации

Другие названия

Exploit.JS.Pdfka.cbo («Лаборатория Касперского») также известен как:

Virus: W32/Autorun.worm.n (McAfee)
Trojan: Exploit-Eleono (McAfee)
Troj/PDFJs-KQ (Sophos)
Troj/PDFJs-JL (Sophos)
Exploit.PDF-22258 (ClamAV)
Generic Worm (Panda)
W32/Trojan2.MINU (FPROT)
Trojan:Win32/Meredrop (MS(OneCare))
Trojan.DownLoader1.5962 (DrWeb)
Trojan.Fakealert.14464 (DrWeb)
Trojan.MulDrop.54135 (DrWeb)
Trojan.Chickie (DrWeb)
Trojan.DownLoad1.54496 (DrWeb)
Trojan.Packed.20343 (DrWeb)
Trojan.Spy.Delf.NLH (BitDef7)
TrojanSpy.Zbot!+w1nsZey310 (VirusBuster)
Win32:MalOb-AR [Cryp] (AVAST)
VirTool.Win32.VBInject (Ikarus)
Exploit.JS.Pdfka (Ikarus)
Generic2_c.AAHJ (AVG)
Dropper.Generic.BCYQ (AVG)
W32.SillyDC (NAV)
Trojan.Pidief.H (NAV)
W32/Crypt.AFNP (Norman)
JS/Exploit.CV (Norman)
Trojan.Win32.Generic.52003B1F (Rising)
Exploit.JS.Pdfka.cbo [AVP] (FSecure)
Trojan.Win32.Generic!BT (Sunbelt)
Exploit.PDF-JS.Gen (v) (Sunbelt)
TrojanSpy.Zbot!+w1nsZey310 (VirusBusterBeta)

© ЗАО «Лаборатория Касперского», 1997-2012
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей

kaspersky.ru

securelist.com