Поведение
Trojan-Downloader, троянский загрузчик.
Технические детали
Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Программа является приложением Windows (PE EXE-файл). Имеет размер 38400 байт. Написана на C++.
Инсталляция
После запуска троянец копирует свое тело в системный каталог Windows под именем "Ir32_a.exe":
%System%/Ir32_a.exe
После чего удаляет свой оригинальный файл.
Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit" = "C:/WINDOWS/system32/userinit.exe,Ir32_a.exe"
Деструктивная активность
Троянец выполняет запрос на сайт злоумышленника:
http://www.yukor.blog55.....
В ответ получает файл со ссылками, по которым необходимо загрузить другие объекты. Данный файл сохраняется в корневой каталог диска "C:" под именем "tmp.dat":
C:/tmp.dat
Закачанные по списку файлы сохраняются во временном каталоге файлов интернет под оригинальными именами и в случае успешной загрузки запускаются на выполнение.
На момент создания описания указанная ссылка не работала.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить копию троянца:
%System%/Ir32_a.exe
- Очистить каталог %Temporary Internet Files%, содержащий инфицированные файлы.
- Изменить ключ системного реестра:
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit" = "C:/WINDOWS/system32/userinit.exe,Ir32_a.exe"
на
[HKLM/Software/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Userinit" = "C:/WINDOWS/system32/userinit.exe"
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: viruslist.com.
| 
