Технические детали
Вредоносная
программа, которая осуществляет сбор конфиденциальной информации
пользователей IM клиента "QIP Infium". Является приложением Windows
(PE-EXE файл). Имеет размер 1033728 байт. Написана на Delphi.
Деструктивная активность
После запуска вредонос отображает следующее окно:
Добавляет в системный реестр следующий ключ:
[HKLM\Software\started]
"started"="1"
Затем определяет месторасположение установленного IM клиента, прочитав значение параметра "InstallLocation" ключа реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\QIP Infium]
Затем выполняет поиск ".qip" файла с профилем пользователя, который
хранится в каталоге "Profiles". Поиск осуществляется по следующим
каталогам:
%Program Files%\QIP Infium\Profiles\
%Documents and Settings%\%Current User%\Application Data\QIP\Profiles\
%Users%\%Current User%\AppData\Roaming\QIP\Profiles\
Получает конфиденциальную информацию пользователя, а именно его
логин и пароль от учетной записи, которая зарегистрирована на сервере:
Qip.ru
После чего отправляет следующий HTTP запрос:
GET /people/about_me.php?uin=2883233 HTTP/1.1
Content-Type: text/html
Host: www.icq.com
Accept: text/html, */*
User-Agent: Mozilla/3.0 (compatible; Indy Library)'
По ссылке размещается вэб страница с информацией о пользователе
ICQ с уникальным идетификатором "2883233". С этой страницы вредонос
получает ссылку, которая находится в разделе "About":
http://www.***load.ru/download/?24281
По данной ссылке
размещается файл размером 2024448 байт, который детектируется
антивирусом Касперского как IM-Worm.Win32.QiMiral.k.
Рекомендации по удалению
Если
ваш компьютер не был защищен антивирусом и оказался заражен данной
вредоносной программой, то для её удаления необходимо выполнить
следующие действия:
- Удалить оригинальный файл вредоносной программы (его расположение
на зараженном компьютере зависит от способа, которым программа попала
на компьютер).
- Удалить ключ реестра (566">как работать с реестром?):
[[HKLM\Software\started]
- Сменить пароли к учетным записям.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Информация с сайта Касперского
