Другие версии: .a, .af, .at, .aw, .bbs, .bc, .cb, .cm, .cw, .do, .dr, .du, .es,
.ez, .ff, .fj, .fp, .fz, .go, .gr, .hq, .ht, .hy, .if, .ig, .k, .kv, .lg, .o, .of, .p, .ra, .rd, .wz, .x, .xj, .yt
Другие названия
Trojan-Dropper.Win32.Small.fe («Лаборатория Касперского») также известен как: TrojanDropper.Win32.Small.fe («Лаборатория Касперского»), DDoS-Decill (McAfee), Trojan dropper (Symantec), Trojan.Child.24576 (Doctor Web), TrojanDownloader:Win32/Small (RAV), TROJ_SMALL.A (Trend Micro), Win32:Trojan-gen. (ALWIL), Downloader.Small.4.T (Grisoft), Trojan.Downloader.Ges.A (SOFTWIN), Trj/Johi.D (Panda).
Поведение
Trojan-Dropper, троянский контейнер.
Технические детали
Троянская программа, которая устанавливает и запускает на исполнение другие вредоносные программы без ведома пользователя. Является приложением Windows (PE EXE-файл). Имеет размер 10784 байта. Упакована UPX. Распакованный размер — около 22 КБ. Написана на C++. Деструктивная активность
При запуске троянец извлекает из своего тела следующий файл и сохраняет его в системном каталоге Windows:
%System%/child.dll
Данный файл имеет размер 8192 байта и детектируется Антивирусом Касперского как Backdoor.Win32.Thunk.f.
Также троянец создает следующие ключи системного реестра:
[HKCU/Software/Classes/CLSID/{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}/InProcServer32]
"(Default)" = "%System%/child.dll"
"ThreadingModel" = "Apartment"
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/SharedTaskScheduler]
"{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}" = "OLE Automation Module"
Если по каким-либо причинам троянец не может создать файл «%System%/child.dll», он сохраняет вредоносную библиотеку в следующем каталоге:
%AppData%/Microsoft/child.dll
Создаваемые ключи системного реестра изменяются соответствующим образом.
Затем троянец вызывает функцию «load» указанной библиотеки и завершает свою работу.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер) в том случае, если он не удалит себя сам.
- Удалить файлы, если таковые существуют:
%System%/child.dll
%AppData%/Microsoft/child.dll
- Удалить ключи системного реестра:
[HKCU/Software/Classes/CLSID/{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}/InProcServer32]
"(Default)" = "%System%/child.dll"
"ThreadingModel" = "Apartment"
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/SharedTaskScheduler]
"{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}" = "OLE Automation Module"
или:
[HKCU/Software/Classes/CLSID/{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}/InProcServer32]
"(Default)" = "%AppData%/Microsoft/child.dll"
"ThreadingModel" = "Apartment"
[HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/SharedTaskScheduler]
"{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}" = "OLE Automation Module"
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: viruslist.com.
| 
