Другие модификации: .abgg, .b, .jm, .lw, .nj
Технические детали
Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 20451 байт. Написана на С++.
Инсталляция
После запуска троянец определяет имя учетной записи текущего пользователя и копирует свой исполняемый файл под следующим именем:
%Documents and Settings%/%Current User%/current_user.exe
где current_user – имя текущего пользователя. Также устанавливает файлу атрибут "cкрытый".
Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"current_user" = "%Documents and Settings%/%Current User%/current_user.exe /i"
Для контроля уникальности своего процесса в системе бэкдор создает уникальные идентификаторы с именами "abcd" и "ajsdoasjdoasjdasoidjaosdjoasjdaosijdsad".
Деструктивная активность
При помощи командной строки бэкдор добавляет свой оригинальный исполняемый файл в список доверенных приложений в брандмауэр Windows. Изменяет отображение стандартного системного курсора. Далее вредонос осуществляет HTTP запросы по URL вида:
http:///40E*****0303030303030303031306C 0000015166000000007600000642EB00053005162028
на следующие IP адреса:
94.247.2.***
74.54.77.***
74.54.135.***
97.74.115.***
75.125.238.***
68.178.255.***
92.62.101.***
В ответе от сервера содержатся данные в зашифрованном виде. Троянец расшифровывает полученные данные и сохраняет в виде отдельных файлов в каталоге хранения временных файлов текущего пользователя с именами:
%Temp%/BNrnd.tmp
где rnd – случайная цифробуквенная последовательность, например, "4E" или "39". Имена загруженных по ссылкам файлов отличаются от других временных файлов наличием двух первых заглавных латинских букв "BN". На момент создания описания загруженные файлы имеют размер 90112 байт и 32270 байт и соответственно детектируются Антивирусом Касперского как Trojan-Downloader.Win32.Agent.bhis и Trojan-Dropper.Win32.Agent.amea. После чего данные файлы запускаются троянцем на выполнение.
Затем выполняет внедрение своего вредоносного функционала в адресное пространство процессов "System" и "Explorer.exe". Также бэкдор пытается выполнить подключение к устройству с именем "ndis_ver2".
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи ( "Диспетчера задач") завершить все троянские процессы с именами "Сurrent_user.exe ", "BNrnd.tmp".
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить параметр в ключе системного реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"current_user" = "%Documents and Settings%/%Current User%/current_user.exe /i"
- Удалить скрытый файл:
%Documents and Settings%/%Current User%/current_user.exe
- Очистить каталог хранения временных файлов пользователя:
%Temp%/
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: viruslist.com.
| 
