Технические детали
Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 48650 байт. Написана на Delphi.
Инсталляция
После запуска троянец перемещает свое тело в файл:
%APPDATA%/download2/svcnost.exe
Для автоматического запуска данного файла при каждом следующем старте системы создается ключ системного реестра:
[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
"download" = "%APPDATA%/download2/svcnost.exe"
Кроме того, созданный файл добавляется в список доверенных приложений брандмауэра Windows путем создания ключа системного реестра:
[HKLM/System/CurrentControlSet/Services/SharedAccess/Parameters/FirewallPolicy/StandardProfile/AuthorizedApplications/List]
"%APPDATA%/download2/svcnost.exe" = "%APPDATA%/download2/svcnost.exe:*:Enabled:ldrsoft"
Деструктивная активность
После запуска троянец устанавливает соединение с сервером злоумышленника:
ca-pdt.com
и отправляет на данный сервер следующую информацию о системе:
имя браузера, установленного в системе по умолчанию. Данный параметр считывается из ключа системного реестра:
[HKCU/Software/Classes/http/shell/open/command]
Могут быть отправлены значения:
IE
Firefox
Chrome
Opera
Mozila
Safari
Other
Версию операционной системы:
WinNT3
WinNT4
Win95
Win98
WinME
Win2000
WinXP
Win2003
Win7
Vista
Информацию об установленном на зараженном компьютере антивирусном программном обеспечении. Данная информация отправляется в случае наличия в системе запущенных процессов с именами, содержащими подстроки:
avp.
kav.
nod32krn.
ekrn.e
mcshield.
bdagent
ofcdog
srvload.e
navapsvc.e
ccsvchst.e
spidernt.e
dwengine.e
winssui.e
avastui.e
avastsvc.ex
avgrsx.e
avgnt.e
sched.e
В соответствии с найденными процессами могут быть отправлены значения:
KIS
Nod32
McAfee
BitDefender
TrendMicro
Panda
Norton
OneCare
Avast
AVG
Avira
После этого троянец в бесконечном цикле осуществляет загрузку файлов с указанного сервера. Загруженные файлы сохраняются в каталоге:
%APPDATA%/download2
После успешной загрузки файлы запускаются на выполнение. На момент создания описания сервер не работал. Также в ходе своей работы троянец создает ключ системного реестра:
[HKCU/Software/Microsoft]
"idln2" = "rnd"
где rnd – случайная последовательность символов (например: "msdgynwcq1vrubzyvdx13iyvs3vgcke").
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи Диспетчера задач завершить троянский процесс.
- Удалить ключи системного реестра:
[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]
"download" = "%APPDATA%/download2/svcnost.exe"
[HKLM/System/CurrentControlSet/Services/SharedAccess/Parameters/FirewallPolicy/StandardProfile/AuthorizedApplications/List]
"%APPDATA%/download2/svcnost.exe" = "%APPDATA%/download2/svcnost.exe:*:Enabled:ldrsoft"
[HKCU/Software/Microsoft]
"idln2" = "rnd"
- Удалить файл:
%APPDATA%/download2/svcnost.exe
- Удалить каталог и все его содержимое:
%APPDATA%/download2
- Очистить каталог Temporary Internet Files.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: securelist.com.
| 
