Trojan-Clicker.JS.Agent.nv

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, открывающая в браузере различные веб-страницы без ведома пользователя. Представляет собой HTML документ, который содержит в своем коде вредоносный сценарий языка Java Script. Имеет размер 10718 байт.

Деструктивная активность

После открытия зараженной страницы, троянец создает каталог:

%ProgramFiles%\WinRAR

Затем определяет месторасположение браузера Internet Explorer, прочитав значение ключа реестра:

[HKLM\Software\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command]

Также определяет путь к панели быстрого запуска:

%Documents and Settings%\%Current User%\Application Data\Microsoft\
Internet Explorer\Quick Launch

После этого троянец проверяет, передаются ли на вход скрипту дополнительные параметры и если параметры присутствуют – продолжает свое выполнение.

Затем добавляет в системный реестр следующие ключи:

[HKCR\.qc]
"(default)"="qcfile"

[HKCR\qcfile]
"(default)"="їм?Э•?К?"
"NeverShowExt"=""

[HKCR\qcfile\CLSID]
"(default)"="{FBF23B40-E3F0-101B-8488-00AA003E56F8}"

[HKCR\qcfile\DefaultIcon]
"(default)"="%System%\url.dll,0 "

[HKCR\qcfile\shell]
"(default)"="open"

[HKCR\qcfile\shell\open]
"CLSID"="{FBF23B40-E3F0-101B-8488-00AA003E56F8}"

[HKCR\qcfile\shell\open\command]
"(default)"="WScript.exe \"C:\\Program Files\\WinRAR\\winrar.knl\" \"%1\""

[HKCR\qcfile\shellex]

[HKCR\qcfile\shellex\ContextMenuHandlers]
"(default)"=""

[HKCR\qcfile\shellex\IconHandler]
"(default)"="{FBF23B40-E3F0-101B-8488-00AA003E56F8}"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartPage]
"Favorites"=hex:ff,00,00,00

Далее вредонос, используя инструментарий WMI (Windows Management Instrumentation), пытается завершить процессы со следующими именами:

IEXPLOR.EXE
MAXTHON.EXE
THEWORLD.EXE
IEXPLORE.EXE
360SE.EXE
SOGOUEXPLORER.EXE
TTRAVELER.EXE
FIREFOX.EXE

После этого вредонос выполняет ряд модификаций системного реестра:

• Скрывает значок браузера Internet Explorer с Рабочего стола:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
  "NoInternetIcon"=dword:00000001
  

• Включает отображение классического меню Пуск:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
  HideDesktopIcons]
  "ClassicStartMenu"=dword:00000001
  

• Скрывает отображение значка Internet Explorer на рабочем столе:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
  HideDesktopIcons\NewStartPanel]
  "{871C5380-42A0-1069-A2EA-08002B30309D}"=dword:00000001
  

Затем создает на рабочем столе ярлык под одним из следующих имен:

%Documents and Settings%\All Users\Рабочий стол\Internet Explerer.qc
%Documents and Settings%\All Users\Рабочий стол\INTERNET EXPLERER.qc

и записывает в него строки:

[360]
Sex=АГИЛ
Name=___C%3A%5CProgram%20Files%5CInternet%20Explorer%5Ciexplore.exe___
Tel=<<<>>>
[InternetShortcut]
URL=http://www.b***u.com
IconIndex=0
IconFile=C:\Program Files\Internet Explorer\iexplore.exe

Устанавливает файлу атрибут "Архивный". Используя инструментарий WMI, удаляет стандартные элементы рабочего стола, а именно "Мои документы", диалоговое окно "Поиск", "Корзина". Для этого троянец удаляет ключи со следующими уникальными идентификаторами:

{1f4de370-d627-11d1-ba4f-00a0c91eedba}
{450D8FBA-AD25-11D0-98A8-0800361B1103}
{645FF040-5081-101B-9F08-00AA002F954E}
{e17d4fc0-5564-11d1-83f2-00a0c90dc849}

из ключа реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\ Explorer\Desktop\
NameSpace]

После этого троянец находит все файлы с расширением "lnk" в каталогах:

%Documents and Settings%\All Users\Рабочий стол
%Documents and Settings%\%Current User%\Рабочий стол
%Documents and Settings%\%Current User%\Application Data\Microsoft\
Internet Explorer\Quick Launch

и заменяет их содержимое по следующему шаблону:

[360]
Sex=АГИЛ
Name=___<полный_путь_к_исполняемому_файлу>___
Tel=<<<>>>
[InternetShortcut]
URL=http://www.b***u.com
IconIndex=0
IconFile=<полный_путь_к_файлу_содержащему_оригинальную_иконку>

Далее устанавливает файлам-ярлыкам атрибут "Архивный". В завершении троянец запускает на выполнение Internet Explorer и открывает в нем вэб ресурс, который располагается по ссылке:

http://www.7***2.com

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Очистить каталог Temporary Internet Files, содержащий инфицированные файлы(Как удалить инфицированные файлы в папке Temporary Internet Files?):

   %Temporary Internet Files%

3. Удалить ключи системного реестра:

   [HKCR\.qc]
   
   [HKCR\qcfile]

4. Установить в "0" значение параметров следующих ключей реестра:

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   "NoInternetIcon"=dword:00000001
   
    [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   HideDesktopIcons]
   "ClassicStartMenu"=dword:00000001
   
    [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
   HideDesktopIcons\NewStartPanel]
   "{871C5380-42A0-1069-A2EA-08002B30309D}"=dword:00000001
   

5. Восстановить оригинальные значения параметров в ключах реестра:

   [HKLM\Software\Microsoft\Windows\CurrentVersion\ Explorer\
   Desktop\NameSpace\
   {1f4de370-d627-11d1-ba4f-00a0c91eedba}]
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\ Explorer\
   Desktop\NameSpace\
   {450D8FBA-AD25-11D0-98A8-0800361B1103}]
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\ Explorer\
   Desktop\NameSpace\
   {645FF040-5081-101B-9F08-00AA002F954E}]
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\ Explorer\
   Desktop\NameSpace\
   {e17d4fc0-5564-11d1-83f2-00a0c90dc849}]
   

6. Восстановить все оригинальные ярлыки на рабочем столе и на панели быстрого запуска:

   %Documents and Settings%\All Users\Рабочий стол
   %Documents and Settings%\%Current User%\Рабочий стол
   %Documents and Settings%\%Current User%\Application Data\Microsoft
   \Internet Explorer\Quick Launch
   

7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan-Dropper. Скрытно устанавливает в систему другие вредоносные программы

Технические детали

Программа является файлом сценария языка Java Script.

Методы проникновения

- Посещение зараженного сайта

Вредоносная активность

Создает следующие файлы:

• \Internet Explerer.qc

Созданные файлы запускаются на исполнение