Trojan.JS. FakeUpdate.bp

Троянская программа, предназначенная для загрузки других вредоносных программ. Программа является html страницей, содержащей сценарии языка Java Script. Имеет размер 44473 байта.

name="doc3">

Деструктивная активность

Злоумышленник регистрирует множество доменов, ниже приведен список некоторых из них:

http://ap***ip.ru
http://ap***ik.ru
http://ap***no.ru
http://ap***mov.ru
http://ap***deo.ru
http://ap***peg.ru
http://ap****avi.ru

На зарегистрированных доменах размещает вредоносную страницу, стилизованную под сервис для просмотра порнографических видеороликов, о чем свидетельствуют подписи с количеством просмотров и отображение картинок на фоне плеера стандартного вида:

При попытке просмотра видео троянец отображает окно с предложением загрузить обновление для Adobe Flash Player, якобы необходимого для просмотра:

Перейдя по ссылке, можно ознакомиться с "условиями", в которых описана работа загружаемой троянцем программы. В числе прочего, там написано, что для удаления загружаемой программы необходимо отправить 2 платных SMS:

Если выбрать "Отмена", тогда троянец отображает другое окно, закрытие или выбор отмены в котором приводит к повторному его появлению:

При нажатии "ОК" или "Загрузить обновление" загружает файл с именем "fusion_player.msi", находящийся на том же домене, что и вредоносная страница:

http://<имя домена>/fusion_player.msi

На момент создания описания троянец загружал файл, который имеет размер 707584 байта и детектируется антивирусом Касперского как Trojan.Win32.Qhost.oyk.