Exploit.JS.Pdfka.cic

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Программа-эксплоит, использующая для своего выполнения на компьютере пользователя уязвимость в продуктах Adobe Acrobat и Adobe Reader. Является PDF документом содержащим сценарии языка Java Script. Имеет размер 1990 байт.

Деструктивная активность

Вредоносный PDF документ содержит в своем теле обфусцированный сценарий Java Script, запускающийся на исполнение при открытии документа с помощью Adobe Acrobat или Adobe Reader.

Используя уязвимость объекта Collab, выполняя переполнение буфера при обработке метода.GetIcon() (CVE-2009-0927), затронувшей продукты Adobe Reader и Adobe Acrobat 9 ранее версии 9.1, 8 ранее версии 8.1.2 и 7 ранее версии 7.1, эксплоит выполняет загрузку файла со следующего URL:

http://inf***ff.com/w2/l.php?i=6

Скачанный файл эксплоит сохраняет во временном каталоге текущего пользователя Windows под следующими именами:

%Temp%\pdfupd.exe
%Temp%\crash.php

Данные файлы имеют размер 122880 байт и детектируются Антивирусом Касперского как Trojan-Spy.Win32.Zbot.akfo.

После успешной загрузки файлы запускаются на исполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %Temp%\pdfupd.exe
   %Temp%\crash.php
   

3. Очистить каталог Temporary Internet Files:

   %Temporary Internet Files%

4. Обновить Adobe Reader и Adobe Acrobat до последних версий.
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).