Другие версии: .a, .ad, .cz, .dam, .gc, .gh, .gl, .hg, .jk, .jm, .s, .vq, .yk, .yt, .yx
Поведение
Trojan-Downloader, троянский загрузчик.
Технические детали
Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является приложением Windows (PE EXE-файл). Имеет размер 24576 байт. Ничем не упакована. Написана на Visual C++.
Инсталляция
При запуске троянец инсталлирует в системный каталог Windows файл драйвера со следующим именем:
%System%/nso12k.sys
Данный файл имеет размер 4383 байта и детектируется Антивирусом Касперского как Rootkit.Win32.Agent.jq.
Также троянец добавляет в системный реестр следующий ключ:
[HKLM/System/CurrentControlSet/Services/Driver]
"ImagePath" = "%System%/nso12k.sys"
Затем копирует свой исполняемый файл в системный каталог Windows под именем «cssrss.exe»:
%System%/cssrss.exe
Для автоматического запуска при каждом последующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"WMDM PMSP Service" = "%System%/cssrss.exe"
Деструктивная активность
Используя установленный драйвер, троянская программа имеет возможность фильтровать интернет-трафик пользователя, работая в качестве IP Filter Driver. Для этого троянец использует функционал объектов в «ntoskrnl.exe» и «ndis.sys». Также драйвер обеспечивает сокрытие самого файла троянца в системе.
Работая в резидентном режиме и имея доступ в Интернет, троянец взаимодействует с удаленным сервером злоумышленника, производя несанкционированную загрузку на компьютер пользователя вредоносных программ.
Троянец открывает следующую ссылку, передавая в качестве параметра тип операционной системы пользователя:
http://***.***.27.120/~stopna/ing/knock.php?win=
(На момент создания описания ссылка не работала.)
Загруженный троянцем файл сохраняется под следующим именем:
%Temp%/sdasdadsad.exe
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:
- При помощи «Диспетчера задач» завершить троянский процесс — «cssrss.exe».
- Удалить значения из ключей системного реестра:
[HKLM/System/CurrentControlSet/Services/Driver]
"ImagePath" = "%System%/nso12k.sys"
[HKCU/Software/Microsoft/Windows/CurrentVersion/Run]
"WMDM PMSP Service" = "%System%/cssrss.exe"
- Выполнить перезагрузку компьютера.
- Удалить файлы:
%System%/cssrss.exe
%System%/nso12k.sys
%Temp%/sdasdadsad.exe
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник: viruslist.com.
| 
