Другие модификации: .a, .nh

Технические детали

Троянская программа. Является приложением Windows (PE-EXE файл). Имеет размер 28672 байта. Упакована при помощи ASPack. Распакованный размер – около 119 КБ. Написана на Delphi.

Инсталляция

После запуска троянец устанавливает своему исполняемому файлу атрибут "Скрытый" и копирует данный файл в системный каталог Windows под именами:

%System%/wintemp.exe

%System%/syswin.exe

После копирования вредонос запускает файлы на выполнение.

Деструктивная активность

Троянец пытается выполнить обращение к интернет ресурсу, расположенного по ссылке:

http://www.qq.com/***

На момент создания описания ссылка не работала.

После чего вредонос определяет имя зараженного компьютера, IP-адрес и передает полученную информацию на сервер злоумышленника по следующему URL:

http://www.75*****.com/images/ge.asp?u=имя компьютера&i=IP адрес

Далее выполняет загрузку файла, который находится по следующему URL:

http://reg.75*****.com/image/log.jpg

и замещает данным файлом содержимое файлов:

%System%/wintemp.exe

%System%/syswin.exe

Данный файл имеет размер 28672 байта и детектируется Антивирусом Касперского как Backdoor.Win32.Hupigon.fsfz. Затем вредоносная программа поочередно запускает данные файлы на выполнение. Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на файл в ключ автозапуска системного реестра:

[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
"IeServer" = "%System%/syswin.exe"

Также троянец выполняет внедрение своего кода в адресное пространство процесса "elementclient.exe". И отслеживает ввод пользователем конфиденциальной информации в регистрационную форму on-line игры "Perfect World".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ( "Диспетчера задач") завершить процессы "wintemp.exe" и "syswin.exe".
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр в ключе системного реестра:

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
"IeServer" = "%System%syswin.exe"

4. Удалить файлы:

%System%/wintemp.exe

%System%/syswin.exe

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: viruslist.com.

перейти в архив