Trojan-Downloader.Win32.Small.brus
| Время детектирования | 09 мар 2011 15:53 MSK |
| Время выпуска обновления | 09 мар 2011 21:47 MSK |
| Описание опубликовано | 29 фев 2012 18:21 MSK |
Технические детали
Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 2688 байт. Написана на C++.
Деструктивная активность
После запуска троянец устанавливает соединение со следующим IP адресом:
69.**.***.250И получает данные в зашифрованном виде. Затем выполняет расшифровку полученных данных и сохраняет файлы во временном каталоге текущего пользователя под именами вида:
%Temp%\_<rnd>.tmpГде <rnd> - произвольная последовательность из цифр и букв латинского алфавита.
Далее троянец запускает скачанные файлы и завершает свою работу.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
%Temp%\_<rnd>.tmp
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (
).
MD5: 1FCAFA543D327CDBA523C39FBDD1F2D5
SHA1: 6C6B37BBDC850A0113E6CE2CD59D8B66078AF522
Резюме
Технические детали
Имеет размер 2688 байт.
Инсталляция
Создает следующие файлы на зараженном компьютере:
- Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\shimg.dll
- Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\dll.dll
Вредоносная активность
- Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\_1.tmp (детектируется антивирусом Касперского как Trojan-Dropper.Win32.Agent.elty)
- Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\cryptnet32.dll
После чего обеспечивается Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузка установленных файлов:
путем прописывания в ключах автозапуска системного реестра:
[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet32 ] "DllName" = "cryptnet32.dll"
Следующие файлы запускаются на исполнение:
- Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\_1.tmp
Создает соединение со следующими адресами в Интернете:
- ***.50.192.250:16415
Прочие действия
Изменяет следующие ключи системного реестра:
[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet32 ] "Startup" = "WinlogonStartEX"
[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet32 ] "Logoff" = "WinlogonLogEX"
[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet32 ] "Shutdown" = "WinlogonLogEX"
[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet32 ] "Asynchronous" = "0x1"
[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet32 ] "Impersonate" = "0x0"
Удаляет следующие файлы на зараженном компьютере:
- Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\crt.dat
НОВОЕ НА САЙТЕ
17 апреля 2024 года
В 2023 году самыми всераспространенными Android-угрозами стали троянские программы, демонстрирующие рекламу. Шпионские троянские приложения по уподоблению с прошлым годом понизили свою энергичность таково словно стали вторыми по числу детектирований на защищаемых антивирусом Dr.Web устройствах. невзирая на то, словн... Вирусные новости
11 апреля 2024 года
Обновление ориентировано н... Антивирус Dr.Web
4 апреля 2024 года
1 апреля 2024 года
1 апреля 2024 года