Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 65536 байт. Написана на Visual Basic.

Инсталляция

Для автоматического запуска при следующем старте системы троянец добавляет запись в ключ автозапуска системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"GoogleUpdate"="<WorkDir>\<имя вредоноса<"

Деструктивная активность

После запуска троянец удаляет файл:

c:\avenger.txt

Затем модифицирует файл:

c:\windows\system32\drivers\etc\hosts

198.106.228.250 visanet.com.br
198.106.228.250 www.visanet.com.br
198.106.228.250 www.openbank.es
198.106.228.250 openbank.es
198.106.228.250 www.lacaixa.es
198.106.228.250 lacaixa.es
198.106.228.250 www.bancoreal.com.br
198.106.228.250 www.real.com.br
198.106.228.250 www.real.com.br
198.106.228.250 www.itau.com.br
198.106.228.250 itau.com.br
198.106.228.250 www.itaupersonnalite.com.br
198.106.228.250 itaupersonnalite.com.br
198.106.228.250 www.itauprivatebank.com.br
198.106.228.250 itauprivatebank.com.br
198.106.228.250 www.bb.com.br
198.106.228.250 bb.com.br
198.106.228.250 www.bb.gov.br
198.106.228.250 bb.gov.br
198.106.228.250 bradesco.com.br
198.106.228.250 www.bradesco.com.br
198.106.228.250 www.bradescoprime.com.br
198.106.228.250 bradescoprime.com.br
198.106.228.250 bradescojuridico.com.br
198.106.228.250 www.checktudo.com.br
198.106.228.250 checktudo.com.br
198.106.228.250 www.infoseg.gov.br
198.106.228.250 infoseg.gov.br
198.106.228.250 www.real.com.br
198.106.228.250 real.com.br
198.106.228.250 www.bradescojuridico.com.br
198.106.228.250 santander.com.br
198.106.228.250 www.santander.com.br
198.106.228.250 banespa.com.br
198.106.228.250 www.nossacaixa.com.br
198.106.228.250 nossacaixa.com.br
198.106.228.250 www.unibanco.com.br
198.106.228.250 unibanco.com.br
198.106.228.250 www.banespa.com.br
198.106.228.250 banespa.com.br
198.106.228.250 www.itauprivatebank.com.br
198.106.228.250 itauprivatebank.com.br
198.106.228.250 caixacatalunya.es
198.106.228.250 www.caixacatalunya.es
198.106.228.250 banesto.es
198.106.228.250 www.banesto.es
198.106.228.250 www.cajamadrid.es
198.106.228.250 cajamadrid.es
198.106.228.250 www.bbva.es
198.106.228.250 bbva.es
198.106.228.250 serasa.com.br
198.106.228.250 www.serasa.com.br
198.106.228.250 www.cam.es
198.106.228.250 cam.es

198.106.228.250 portal.lacaixa.es
198.106.228.250 www.banespa.com.br
198.106.228.250 www.caixa.com.br
198.106.228.250 caixa.com.br
198.106.228.250 www.caixaeconomicafederal.com.br
198.106.228.250 caixaeconomicafederal.com.br
198.106.228.250 www.cef.com.br
198.106.228.250 cef.com.br
198.106.228.250 www.caixa.gov.br
198.106.228.250 caixa.gov.br
198.106.228.250 www.caixaeconomica.com.br
198.106.228.250 caixaeconomica.com.br
198.106.228.250 www.caixaeconomica.gov.br
198.106.228.250 caixaeconomica.gov.br
198.106.228.250 www.cef.gov.br
198.106.228.250 www.caixaeconomicafederal.gov.br
198.106.228.250 caixaeconomicafederal.gov.br
198.106.228.250 cetelem.com.br
198.106.228.250 www.cetelem.com.br
198.106.228.250 citibank.com.br
198.106.228.250 www.citibank.com.br
198.106.228.250 www.pagamentodigital.com.br
198.106.228.250 pagamentodigital.com.br
198.106.228.250 www.cartaobndes.gov.br
198.106.228.250 cartaobndes.gov.br
198.106.228.250 americanas.com.br
198.106.228.250 www.americanas.com.br
198.106.228.250 americanas.com
198.106.228.250 www.americanas.com

Далее троянец загружает файлы со следующих URL адресов:

http://damdang.vn/images/atual.txt
http://damdang.vn/images/atual.gif

На момент создания описания ссылки не работали.

Загруженные файлы троянец сохраняет под следующими именами:

\local.txt
\atual.exe

После этого троянец запускает на выполнение файл "atual.exe".

Также троянец скрывает окно с заголовком:

avenger - Bloco de notas

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи "Диспетчера задач" завершить вредоносный процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "GoogleUpdate"="<WorkDir>\<имя вредоноса>"
   

4. Восстановить оригинальное содержимое файла:

   c:\windows\system32\drivers\etc\hosts

   которое по умолчанию имеет следующий вид:

   # (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
   #
   # Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
   #
   # Этот файл содержит сопоставления IP-адресов именам узлов.
   # Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
   # находиться в первом столбце, за ним должно следовать соответствующее имя.
   # IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
   #
   # Кроме того, в некоторых строках могут быть вставлены комментарии 
   # (такие, как эта строка), они должны следовать за именем узла и отделяться
   # от него символом '#'.
   #
   # Например:
   #
   #      102.54.94.97     rhino.acme.com          # исходный сервер
   #       38.25.63.10     x.acme.com              # узел клиента x
   
   127.0.0.1       localhost
   

5. Удалить файлы:

   <WorkDir>\local.txt
   <WorkDir>\atual.exe
   

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: 71F1E3CCD22F6F29BD785805CD7969CD

SHA1: 4E8CD1004917A66B9CDAC7F8F6406B2DF58DFE80

23 апреля 2024 года

Обращаем внимательность на дальнейшее обновление пасмурной версии песочницы Dr.Web vxCube, в взаимоотношения с чем 24 апреля с 13:00 перед началом 14:00 по столичному времени обслуживание будет недоступен для использования.

В составе песочницы будет обновлена документация — описание работы обслуживания будет снова на... Антивирус Dr.Web

Бизнес-школа «БИЗНЕС ИНСАЙТ» и проект «ЭКСПЕРТЫ» приглашают на III Всероссийский онлайн-форум «БИЗНЕС. ВЕСНА 2024». Бизнес-форум — важнейшее событие в мире бизнеса. На одной площадке соберутся действующие предприниматели, эксперты-практики, чтобы поделиться […]

The post 25-26.05.24г. 10.00-15.00. III Всероссийский форум «БИЗН... Новости Безопастности

17 апреля 2024 года