Trojan.JS.Agent.bun

Троянская программа, использующая уязвимости в продуктах Oracle Java и Adobe Reader/Acroba.

Технические детали

Троянская программа, использующая уязвимости в продуктах Oracle Java и Adobe Reader/Acrobat для выполнения загрузки и запуска другого вредоносного ПО. Представляет собой HTML документ, который содержит в себе сценарии Java Script. Имеет размер 93255 байт.

Деструктивная активность

После открытия в браузере вредоносной HTML страницы, отображается следующее сообщение:

Затем используя сценарии Java Script вредонос собирает системную информацию, а именно:
  • Тип ОС:
    Win  Mac  Linux  FreeBSD  iPhone  iPod  iPad  Win.*CE  Win.*Mobile  Pocket\\s*PC  
  • Установленный браузер:
    MS Internet Explorer  Mozilla Firefox  Safari  Chrome  Opera  
  • Установленные в браузер плагины, а также ActiveX объекты.
  • Поддерживаемые браузером MIME типы.
  • Версии установленных Java и AdobeReader.

Далее вредонос пытается запустить в браузере пользователя Java-апплет, который располагается по ссылке:

http://<доменное_имя_зараженного_сервера>/games/getJavaInfo.jar
Также пытается выполнить вредоносный Java-апплет:
http://<доменное_имя_зараженного_сервера>/games/mario.jar
стартуя его со следующими параметрами:
name='param'  value='<зашифрованная_ссылка>'  
Для апплета, в качестве главного класса, задается класс с именем:
tools.Commander.class
Для выполнения дополнительных вредоносных сценариев, вредонос активирует следующие ActiveX объекты:
Msxml2.XMLHTTP  Msxml2.DOMDocument  Microsoft.XMLDOM  ShockwaveFlash.ShockwaveFlash  TDCCtl.TDCCtl  Shell.UIHelper  Scripting.Dictionary  wmplayer.ocx  
Для выполнения Java приложений в браузере вредонос определяет следующие MIME типы:
application/x-java-applet  application/x-java-vm  application/x-java-bean  application/x-java-applet  application/npruntime-scriptable-plugin;deploymenttoolkit  application/java-deployment-toolkit  
Используя уязвимость в Java Deployment Toolkit (JDT), которая возникает из-за некорректной обработки URL, что позволяет злоумышленнику передавать произвольные параметры в Java Web Start (JWS) (CVE-2010-0886). Злоумышленник специальным образом формирует ссылку и передает ее в качестве параметра уязвимой функции "launch()". Таким образом, троянец, под видом файла который располагается на сетевом ресурсе:
\\216.***.***.202\pub\new.avi
загружает и запускает на выполнение вредоносный файл, который располагается по ссылке:
http://net***ring.info/d.php?f=45&e=2
Для выполнения вредоносного сценария в MS Internet Explorer, троянец использует ActiveX объекты с уникальными идентификаторами:
{CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA}  {8AD9C840-044E-11D1-B3E9-00805F499D93}  
Затем троянец использует уязвимость, которая возникает при некорректной обработке функцией "MPC::HexToNum" escape-последовательностей в URL приложений Microsoft Windows Help и Support Center (helpctr.exe) (MS10-042, CVE-2010-1885). Успешное использование уязвимости позволяет злоумышленнику выполнить команды, которые передаются в специально сформированном "hcp://" URL. Вредонос, используя ActiveX объект "MSXML2.XMLHTTP" выполняет загрузку файла, который располагается по следующему URL:
http://net***ring.info/games/hcp_vbs.php?f=45
и сохраняет его в каталог хранения временных файлов текущего пользователя под именем:
%Temp%\l.vbs
Используя командную строку, троянец запускает на выполнение загруженный файл, а также завершает процесс центра справки и поддержки Microsoft Windows:
HelpCtr.exe 
Также, в зависимости от версии, установленной в системе Java, троянец пытается открыть в скрытых фреймах следующие вэб-ресурсы:
http://<доменное_имя_зараженного_сервера>/games/java_trust.php?f=45  http://<доменное_имя_зараженного_сервера>/games/java_skyline.php?f=45  
Далее вредонос определяет установленные в браузере плагины и ActiveX объекты Adobe Reader и Adobe Acrobat. Для выполнения вредоносного сценария в MS Internet Explorer, троянец использует ActiveX объект с уникальным идентификатором:
{CA8A9780-280D-11CF-A24D-444553540000}
Для выполнения в Mozilla Firefox и в других NPAPI браузерах, троянец определяет следующие MIME типы:
application/vnd.adobe.pdfxml  application/vnd.adobe.x-mars    
Уязвимые версии Adobe Reader – версия 8.0.0 и более ранние, а также все версии Adobe Reader до 9.3.1. В зависимости от версии установленного "PDF Reader" – открывает вредоносные PDF документы по одной из ссылок:
http://<доменное_имя_зараженного_сервера>/games/1fdp.php?f=45  http://<доменное_имя_зараженного_сервера>/games/2fdp.php?f=45  
На момент создания описания ссылки не работали.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить оригинальный файл эксплоита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  2. Очистить каталог Temporary Internet Files, содержащий инфицированные файлы:
    %Temporary Internet Files%
  3. Обновить JRE и JDK до последних версий.
  4. Установить последнюю версию Adobe Reader и Adobe Acrobat.
  5. Отключить уязвимые ActiveX объекты.
  6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами.

[MD5: 60bd9bd94a57696e5eb832b44dc94395]
[SHA1: f27af16ee2983dba59430d0182dccea4ec2ebe10]