Поведение
Trojan-Downloader, троянский загрузчик.
Технические детали
Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Программа является приложением Windows (PE EXE-файл). Имеет размер 6144 байта. Написана на C++.
Инсталляция
После запуска троянец копирует свое тело в системный каталог Windows под именем "_svchost.exe":
%System%/_svchost.exe
Данный файл регистрируется в системе как сервис "Microsoft Inet Service".
Деструктивная активность
Троянец обращается в сеть Интернет по следующим адресам:
http://damndskj.com/*****/tpktskk2.php
http://damndskj.com/*****/tpknlkk433.php
В ответ получает список ссылок для последующей загрузки файлов.
На момент создания описания это были следующие ссылки:
http://58.65.***.***/gwer234/alexey.exe
http://58.65.***.***/gwer234/u_f1_v33_63.exe
http://58.65.***.***/gwer234/krea.exe
http://88.255.***.***/all/loader.exe
http://58.65.***.***/gwer234/nn.exe
http://58.65.***.***/gwer234/01113.exe
На момент создания описания данные ссылки не работали.
Полученный список ссылок сохраняется в файл "RunOnce.tmp" в системном каталоге Windows:
%System%/RunOnce.tmp
Данные файлы скачиваются во временный каталог текущего пользователя Windows и запускаются на исполнение.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы, созданные троянцем:
%System%/_svchost.exe
%System%/RunOnce.tmp
%Temp%/alexey.exe
%Temp%/u_f1_v33_63.exe
%Temp%/krea.exe
%Temp%/nn.exe
%Temp%/01113.exe
%Temp%/loader.exe
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: viruslist.com.
| 
