Security Lab

Trojan-Downloader.JS.Agent.fyk

Trojan-Downloader.JS.Agent.fyk

После открытия в браузере вредоносной HTML страницы, отображается сообщение.

Технические детали

Троянская программа, использующая уязвимости в продуктах Oracle Java и Adobe Reader/Acrobat для выполнения загрузки и запуска другого вредоносного ПО. Представляет собой HTML документ, который содержит в себе сценарии Java Script. Имеет размер 84625 байт.


Деструктивная активность

После открытия в браузере вредоносной HTML страницы, отображается следующее сообщение:

Затем используя сценарии Java Script вредонос собирает системную информацию, а именно:

  • Тип ОС:
    Win Mac Linux FreeBSD iPhone iPod iPad Win.*CE Win.*Mobile Pocket\\s*PC 
  • Установленный браузер:
    MS Internet Explorer Mozilla Firefox Safari Chrome Opera 
  • Установленные в браузер плагины, а также ActiveX объекты.
  • Поддерживаемые браузером MIME типы.
  • Версии установленных Java и AdobeReader.

Далее вредонос пытается эксплуатировать уязвимости, которые существуют в Java, запуская в браузере пользователя Java-апплеты, которые располагаются по ссылкам:

http://<доменное_имя_зараженного_сервера>/games/getJavaInfo.jar http://<доменное_имя_зараженного_сервера>/games/mario.jar
Апплет "mario.jar" запускается со следующими параметрами:
name='prm' value='<зашифрованная_ссылка>' 
где для апплета, в качестве главного класса, задается класс с именем:
tools.Commander.class
Также, в зависимости от версии, установленной в системе Java, троянец пытается открыть в скрытых фреймах следующие вэб-ресурсы:
http://<доменное_имя_зараженного_сервера>/games/java_trust.php?f=16 http://<доменное_имя_зараженного_сервера>/games/java_skyline.php?f=16 
Для выполнения дополнительных вредоносных сценариев, вредонос активирует следующие ActiveX объекты:
Msxml2.XMLHTTP Msxml2.DOMDocument Microsoft.XMLDOM ShockwaveFlash.ShockwaveFlash TDCCtl.TDCCtl Shell.UIHelper Scripting.Dictionary wmplayer.ocx 
Затем вредонос, используя ActiveX объект "MSXML2.XMLHTTP", выполняет загрузку файла, который располагается по следующему URL:
http://65.***.***.175/Home/d.php?f=16&e=4
используя ActiveX объект "Adodb.Stream" сохраняет файл под именем:
%Documents and Settings%\adobeupdate.exe
и запускает его на выполнение.

На момент создания описания ссылка не работала.

Для выполнения Java приложений в браузере вредонос определяет следующие MIME типы:

application/x-java-applet application/x-java-vm application/x-java-bean application/x-java-applet application/npruntime-scriptable-plugin;deploymenttoolkit application/java-deployment-toolkit 
Используя уязвимость в Java Deployment Toolkit (JDT), которая возникает из-за некорректной обработки URL, что позволяет злоумышленнику передавать произвольные параметры в Java Web Start (JWS) (CVE-2010-0886).

Злоумышленник специальным образом формирует ссылку и передает ее в качестве параметра уязвимой функции "launch()". Таким образом, троянец, под видом видеофайла файла, запускает Java-апплет:

\\peri***come.com\public\new.avi - имеет размер 1626 байт и детектируется антивирусом Касперского как Trojan-Downloader.Java.Agent.mg.
выполняющий загрузку, по передаваемой в виде параметра ссылке, файла:
http://65.***.***.175/Home/d.php?f=16&e=2
После успешной загрузки файл сохраняется под именем:
%Temp%\<rnd>.exe
где rnd – случайное дробное число от 0 до 1. Затем загруженный файл запускается на выполнение.

Для выполнения вредоносного сценария в MS Internet Explorer, троянец использует ActiveX объекты с уникальными идентификаторами:

{CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA} {8AD9C840-044E-11D1-B3E9-00805F499D93} 
Далее вредонос определяет установленные в браузере плагины и ActiveX объекты Adobe Reader и Adobe Acrobat. Для выполнения вредоносного сценария в MS Internet Explorer, троянец использует ActiveX объект с уникальным идентификатором:
{CA8A9780-280D-11CF-A24D-444553540000}
Для выполнения в Mozilla Firefox и в других NPAPI браузерах, троянец определяет следующие MIME типы:
application/vnd.adobe.pdfxml application/vnd.adobe.x-mars 
Уязвимые версии Adobe Reader – версия 8.0.0 и более ранние, а также все версии Adobe Reader до 9.3.1. В зависимости от версии установленного "PDF Reader" – открывает вредоносные PDF документы по одной из ссылок:
http://<доменное_имя_зараженного_сервера>/games/1fdp.php?f=16 http://<доменное_имя_зараженного_сервера>/games/2fdp.php?f=16 
На момент создания описания ссылки не работали.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  2. Очистить каталог Temporary Internet Files, содержащий инфицированные файлы ( Как удалить инфицированные файлы в папке Temporary Internet Files? ):
    %Temporary Internet Files%
  3. Удалить файл:
    %Documents and Settings%\adobeupdate.exe
  4. Очистить каталог хранения временных файлов:
    %Temp%\
  5. Обновить JRE и JDK до последних версий.
  6. Установить последнюю версию Adobe Reader и Adobe Acrobat.
  7. Отключить уязвимые ActiveX объекты ( Как отключить запуск элемента управления ActiveX в обозревателе Internet Explorer ).
  8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами ( скачать пробную версию ).

[MD5: bfd28c83be1c01b5260362e7d2e544e3]
[SHA1: e8e37aaabb9adc8183ca462761911da5c82124d4]

Где кванты и ИИ становятся искусством?

На перекрестке науки и фантазии — наш канал

Подписаться