Rootkit.Win32.Stuxnet.b

Opisi virusa, 01.11.2010, 00:30 AM

Tehnički detalji

Ovaj rootkit (vidi u Rečniku: rootkit) je napravljen da prikrije maliciozne programske fajlove. Reč je o NT kernel drajveru. Njegova veličina je 17400 bajtova.

Instalacija

Rootkit kopira svoj izvršni fajl kao:

%System%\drivers\mrxnet.sys

Da bi obezbedio automatsko pokretanje pri ponovnom pokretanju sistema, rootkit stvara sledeći 'registry' ključ (vidi u Rečniku: registry key):

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet]
"Description"="MRXCLS"
"DisplayName"="MRXNET"
"ErrorControl"=dword:00000000
"Group"="Network"
"ImagePath"="\\??\\%System%\Drivers\\mrxnet.sys"
"Start"=dword:00000001
"Type"=dword:00000001

Payload

Prilikom pokretanja rootkit drajver se povezuje kao filter drajver sa:

\FileSystem\ntfs
\FileSystem\fastfat
\FileSystem\cdfs

i na taj način stiče kontrolu nad sistemskim fajlovima zaraženog računara. Rootkit sakriva fajlove pod nazivima:

~WTR.tmp, where rnd is a random four-digit number

Na primer:

~WTR4132.tmp
~WTR4141.tmp

Fajlovi sa LNK ekstenzijama veličine 4171 su takođe sakriveni. Rootkit fajl je označen digitalnim sertifikatom Realtek Semiconductor Corp.

On sadrži sledeći tekst:

b:\myrtus\src\objfre_w2k_x86\i386\guava.pdb

Uputstvo za uklanjanje

Ukoliko vaš računar nema ažuriran antivirusni program, ili nema instaliran antivirusni program uopšte, sledite uputstva za brisanje malicioznog programa:

Obrišite originalan rootkit fajl (lokacija na kojoj se nalazi zavisi od toga kako je program ušao u računar).

Obrišite ključ iz system registry:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet]

Obrišite sledeći fajl:
```
%System%\drivers\mrxnet.sys
```
Restartujte računar
Ažurirajte svoj antivirusni program i potom skenirajte kompjuter (možete preuzeti probnu verziju Kaspersky Anti-Virus)