Trojan-Downloader.Java.OpenConnection.er

Время детектирования	11 авг 2011 15:11 MSK
Время выпуска обновления	11 авг 2011 17:45 MSK
Описание опубликовано	26 сен 2011 16:15 MSK

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является JAR-архивом, содержащим в себе набор Java-классов (class-файлы). Имеет размер 18043 байта.

Деструктивная активность

Вредоносный JAR-архив содержит следующие файлы:

bingo\chugun.class (365 байт)
bingo\dipler.class (1394 байта)

bingo\efir.class (17766 байт; 
детектируется Антивирусом Касперского как "Trojan-Downloader.Java.OpenConnection.er ")

bingo\haskalu.class (2532 байта)
bingo\kipoltyrew.class (856 байт)
Meta-inf\Manifest.mf (71 байт)

Указанный набор классов представляет собой реализацию Java-апплета (главный класс апплета – "efir"), использующего уязвимость CVE-2010-0840 для загрузки из сети Интернет файлов на зараженный компьютер. Данная уязвимость проявляется вследствие ненадлежащей проверки при выполнении привилегированных методов в JRE (Java Runtime Environment), что позволяет злоумышленнику выполнить произвольный код при помощи определенным образом модифицированного объекта, являющегося подклассом доверенного класса. В данном случае осуществляется наследование метода "getValue()" доверенного класса "Expression". Подобное наследование не может быть осуществлено непосредственно из класса вредоносного Java-апплета, который является подклассом непривилегированного класса "Applet". Запуск апплета производится с зараженной HTML-страницы при помощи тега "<APPLET>", для которого в параметре с именем "kdwidth" передается в зашифрованном виде ссылка для загрузки файла. Расшифровка ссылки производится при помощи функции "fipoluty", реализованной в классе "efir". В ходе расшифровки используются следующие соответствия для входных и выходных символов:
Входные символы:

xTc/8:G1RqgymtFz_S?nuJHkpP=DBaeOj2&7Q%Mh5bXdK0vf4E-YCisAwV9rI.3oZl6LN#UW

Выходные символы:

0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ/.:_-?&=%#

После запуска троянец проверяет имя установленной на зараженном компьютере ОС. Если ОС отлична от Windows, то вредонос завершает свою работу. В противном случае по полученной ссылке загружается файл, и сохраняется как

%USERPROFILE%\<rnd>.exe

где <rnd> – случайное дробное десятичное число от 0 до 1.

После успешной загрузки файл запускается на выполнение.

Также в ходе своей работы троянец устанавливает значение параметра "java.net.useSystemProxies" равным "true".

Мой Антивирус

Trojan-Downloader.Java.OpenConnection.er

Технические детали

Деструктивная активность

Рекомендации по удалению