Технические детали

Рекламное программное обеспечение, предназначенное для перенаправления поисковых запросов пользователя на другие веб-ресурсы. Является приложением Windows (PE-EXE файл). Имеет размер 715352 байта. Написано на C++.

Инсталляция

После запуска вредонос устанавливает на зараженном компьютере следующие компоненты:

%Temp%\<rnd>.tmp\System.dll (10240 байт)
%Temp%\<rnd>.tmp\InstallOptions.dll (13824 байта)
%Temp%\<rnd>.tmp\modern-wizard.bmp (154544 байта)

%Program Files%\ScanQuery\scanquery.dll (573440 байт; детектируется Антивирусом Касперского как "not-a-virus:AdWare.Win32.Zwangi.fmy")

%Program Files%\ScanQuery\uninstall.exe (85128 байт)
%Program Files%\ScanQuery\scanquery.exe (49152 байта)

%ALLUSERSPROFILE%\Application Data\ScanQuery\scanquery120.exe (49152 байта; идентичен файлу "scanquery.exe")

Также вредонос создает ключи системного реестра:

[HKLM\Software\ScanQuery]
"TempInstallDir" = "%Program Files%\ScanQuery"
"Primary"= "8612"
"DllPath" = "%Program Files%\ScanQuery\scanquery.dll"
"Version" = "65556"
"Cid" = "483925330dc74be680bcfe8b5f14ae6a"
"Partner" = "SCANQUERY120"
"Src" = "scanquery"
"Initial" = "1"
"ShowToolbarButton" = "0"
"ShowBarSign" = "0"
"UpdateTimeH" = "<десятичное число>"
"UpdateTimeL" = "<десятичное число>"
"Retries" = "1"

[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ScanQuery]
"DisplayName" = "ScanQuery 1.0 build 120 powered by FIRST SEARCHBAR"
"UninstallString" = "%Program Files%\ScanQuery\uninstall.exe _?=%Program Files%\ScanQuery"

[HKU\.Default\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"ParseAutoexec" = "1"

По завершении процесса инсталляции, вредонос запускает на выполнение извлеченные ранее файлы:

%Program Files%\ScanQuery\scanquery.exe 
%ALLUSERSPROFILE%\Application Data\ScanQuery\scanquery120.exe 

%Temp%\<rnd>.tmp\ioSpecial.ini

Деструктивная активность

Вредонос подгружает ранее извлеченную библиотеку:

%Program Files%\ScanQuery\scanquery.dll

iexplore.exe
chrome.exe

www.sc***query.com

Кроме того, вредонос способен обновлять свои компоненты, обращаясь к серверу:

upgrade.sca***uerytwo.com

%WinDir%\Temp\<rnd>.tmp\upgrade.cab
%WinDir%\Temp\<rnd>.tmp\upgrade.exe

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить процессы:

   scanquery.exe 
   scanquery120.exe 
   

2. Завершить работу браузеров:

   Internet Explorer
   Google Chrome
   

3. Удалить ключи системного реестра (как работать с реестром?):

   [HKLM\Software\ScanQuery]
   "TempInstallDir" = "%Program Files%\ScanQuery"
   "Primary"= "8612"
   "DllPath" = "%Program Files%\ScanQuery\scanquery.dll"
   "Version" = "65556"
   "Cid" = "483925330dc74be680bcfe8b5f14ae6a"
   "Partner" = "SCANQUERY120"
   "Src" = "scanquery"
   "Initial" = "1"
   "ShowToolbarButton" = "0"
   "ShowBarSign" = "0"
   "UpdateTimeH" = "<десятичное число>"
   "UpdateTimeL" = "<десятичное число>"
   "Retries" = "1"
   
   [HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ScanQuery]
   "DisplayName" = "ScanQuery 1.0 build 120 powered by FIRST SEARCHBAR"
   "UninstallString" = "%Program Files%\ScanQuery\uninstall.exe _?=%Program Files%\ScanQuery"
   
   [HKU\.Default\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "ParseAutoexec" = "1"
   

4. Удалить файлы:

   %Temp%\<rnd>.tmp\System.dll
   %Temp%\<rnd>.tmp\InstallOptions.dll
   %Temp%\<rnd>.tmp\modern-wizard.bmp
   %Program Files%\ScanQuery\scanquery.dll
   %Program Files%\ScanQuery\uninstall.exe
   %Program Files%\ScanQuery\scanquery.exe 
   %ALLUSERSPROFILE%\Application Data\ScanQuery\scanquery120.exe %Temp%\<rnd>.tmp\ioSpecial.ini
   %WinDir%\Temp\<rnd>.tmp\upgrade.cab
   %WinDir%\Temp\<rnd>.tmp\upgrade.exe
   

5. Удалить оригинальный файл вредоноса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
6. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

17 апреля 2024 года