Trojan-Downloader.Win32.Agent.uj

Технические детали
Деструктивная активность

Технические детали

Троянская программа, загружающая из интернета файлы без ведома пользователя. Является приложением Windows (PE EXE-файл). Размер зараженных файлов варьируется от 10 до 51 КБ.

Деструктивная активность

После запуска троянец копирует себя в системный каталог Windows (%System%) с различными именами. При этом оригинальный запускаемый файл удаляется.

Также в системном каталоге Windows может быть создан DLL-файл, который инфицирует процесс IEXPLORER.EXE (открывает его со всеми возможными правами и производит в его адресное пространство запись своих данных).

После чего IEXPLORER.EXE пытается загрузить из интернета другие файлы и запустить их на компьютере пользователя.

По содержащимся в теле троянца ссылкам злоумышленники могут разместить любые другие вредоносные программы.

Резюме

• Trojan-Dropper. Скрытно устанавливает в систему другие вредоносные программы

• Trojan. Выполняет действия, характерные для вредоносных программ

• Осуществляет сетевую активность

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 10801 байт.

Инсталляция

После запуска создает свои копии под следующими именами:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\svchf47.exe

Вредоносная активность

Создает следующие файлы:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\syst5.dll (­детектируется антивирусом Касперского как­ Trojan-Downloader.Win32.Small.vwd)

После чего обеспечивается Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузка установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows ] "AppInit_DLLs" = " Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\syst5.dll"

Внедряет свой код в следующие процессы:

• svchost.exe

Открывает следующие порты на зараженном компьютере для входящих соединений:

• 0

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• WhAtTheFuck
• IAMPROGRAM!

Прочие действия

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Internet Explorer ] "MinVersion" = "\1DE\0B\nver=%lu&uid=%lu&conn=%s&os=%s&socks=%lu&ip=%s"

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>