Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является динамической библиотекой Windows (PE DLL-файл). Имеет размер 17408 байт. Написана на C++.

Деструктивная активность

После запуска исполняемого кода данной библиотеки выполняются следующие действия:

• в отдельном потоке в бесконечном цикле из системной памяти выгружаются следующие процессы:

KVSrvXP.exe
avp.exe
RavMonD.exe
RavTask.exe
RsAgent.exe
rsnetsvr.exe
RsTray.exe
ScanFrm.exe
CCenter.exe
kavstart.exe
kissvc.exe
kpfw32.exe
kpfwsvc.exe
kswebshield.exe
kwatch.exe
kmailmon.exe
egui.exe
ekrn.exe
ccSvcHst.exe
ccSvcHst.exe
ccSvcHst.exe
Mcagent.exe
mcmscsvc.exe
McNASvc.exe
Mcods.exe
McProxy.exe
Mcshield.exe
mcsysmon.exe
mcvsshld.exe
MpfSrv.exe
McSACore.exe
msksrver.exe
sched.exe
avguard.exe
avmailc.exe
avwebgrd.exe
avgnt.exe
sched.exe
avguard.exe
avcenter.exe
UfSeAgnt.exe
TMBMSRV.exe
SfCtlCom.exe
TmProxy.exe
360SoftMgrSvc.exe
360tray.exe
qutmserv.exe
bdagent.exe
livesrv.exe
seccenter.exe
vsserv.exe
MPSVC.exe
MPSVC1.exe
MPSVC2.exe
MPMon.exe
ast.exe
360speedld.exe
360SoftMgrSvc.exe
360tray.exe
360hotfix.exe
360rpt.exe
360safe.exe
360safebox.exe
krnl360svc.exe
zhudongfangyu.exe
360sd.exe
360rp.exe
360se.exe
safeboxTray.exe

• Из тела троянца извлекается файл, который сохраняется во временном каталоге пользователя как

%Temp%/Boader.sys

(4000 байт; детектируется Антивирусом Касперского как "Rootkit.Win32.Small.arr")

• В системе создается и запускается служба с именем "Boader". Исполняемым файлом данной службы является извлеченный файл

"%Temp%/Boader.sys".

• Устанавливается соединение со следующим хостом:

pc1.11****tral.com

• Установленное соединение используется для загрузки файлов. Загруженные файлы сохраняются во временном каталоге пользователя под случайными именами. После успешной загрузки файлы запускаются на выполнение. На момент создания описания файлы не загружались.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить ветви системного реестра:

[HKLM/System/ControlSet001/Services/Boader]
[HKLM/System/CurrentControlSet/Services/Boader]

2. Перезагрузить компьютер.
3. Удалить файл:

%Temp%/Boader.sys

4. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
5. Очистить временный каталог пользователя "%Temp%".
6. Очистить каталог Temporary Internet Files.
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: securelist.com.

перейти в архив