Exploit.JS.Pdfka.clk

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Программа-эксплоит, использующая для своего выполнения на компьютере пользователя уязвимости в продуктах Adobe – Reader и Acrobat. Является PDF документом содержащим сценарии языка Java Script. Имеет размер 46632 байта.

Деструктивная активность

Вредоносный PDF документ содержит в себе сжатые потоки данных, которые, после открытия документа, распаковываются и представляют собой обфусцированный сценарий Java Script. Для выполнения вредоносного кода эксплоит использует уязвимости, которые существуют при обработке методоа getAnnots (CVE-2009-1492) и при вызове функции Collab.collectEmailInfo() (CVE-2007-5659) в продуктах Adobe Reader и Adobe Acrobat. При запуске сценария эскплоит проверяет версию продукта, затем специально формирует шелкод , в результате выполнения которого происходит загрузка файла, который располагается по следующему URL:

http://k***se.info/cgi-bin/mp/n002106204r0
019R854fece2X9f9abc4bYd38a49bfZ0100f060

На момент создания описания ссылка не работала.

При успешной загрузке скачанный файл записывается во временный каталог под следующими именами:

%Temp%\iBLg.exe
%Temp%\BoGU.exe
%Temp%\nrNT.exe

После чего запускается на выполнение и эксплоит завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %Temp%\iBLg.exe
   %Temp%\BoGU.exe
   %Temp%\nrNT.exe
   

3. В случае использования продуктов Adobe Reader или Adobe Acrobat, выполнить обновление приложений до актуального состояния.
4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).