Trojan.Fakealert.453

Уязвимые ОС: Win NT-based

Размер: 16,896 байт

Упакован: UPX

• Может быть установлен на инфицированный компьютер загрузчиками или инсталляторами вредоносных программ.
• При запуске создаёт в системном каталоге файл %systemroot%\system32\univrs32.dat, определяемый антивирусом Dr.Web как Trojan.Click.5043, для переадресации вводимых запросов в Internet Explorer на определённые сайты.
• В системном трее отображается значок с периодически всплываемых сообщениях о якобы инфицировании компьютера:
  
  

• Соединяется с удалённым сервером, автоматически скачивает непосредственно загрузчик "антивирусного средства", определяемого антивирусом Dr.Web как Trojan.Fakealert.452, устанавливает, который уже непосредственно скачивает само "антивирусное средство".
• Отключает вывод предупреждающих сообщенияйвстроеннных в операционную систему антивируса, межсетевого экрана, а также системы обновлений:
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify: 0x00000001
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify: 0x00000001
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify: 0x00000001
  

• Модифицирует настройки и снижает уровень политик безопасности браузера Internet Explorer:
  
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1201: 0x00000000
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1804: 0x00000001
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1\1201: 0x00000000
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\1201: 0x00000000
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\1804: 0x00000001
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1201: 0x00000000
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\1200: 0x00000000
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\1201: 0x00000000
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\1608: 0x00000000
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\1804: 0x00000001
  
• Подменяет стартовую и поисковую страницы в Internet Explorer на страницы, относящиеся к Google.

1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы.
2. С заведомо неинфицированного компьютера скачать бесплатную лечащую утилиту Dr.Web CureIt! и записать её на внешний носитель.
3. Инфицированный компьютер перезагрузить в Безопасный режим (F8 при старте Windows) и просканировать инфицированный компьютер Dr.Web CureIt!. Для найденных объектов применить действие "Лечить".
4. Восстановить значения соответствующих ветвей реестра: