Backdoor.Win32.Agent.lw

Технические детали

Троянская программа, предоставляющая злоумышленнику удалённый доступ к зараженной машине. Является приложением Windows (PE EXE-файл). Размер компонентов бекдора варьируется от 8 до 80 КБ.

Инсталляция

При запуске бекдор копирует свой исполняемый файл в системную папку Windows:

%System%\ssclie.exe

Далее бекдор извлекает из своего тела библиотеку DLL с именем:

%System%\stu.dll

После чего происходит загрузка созданной библиотеки в адресное пространство процесса svchost.exe, после чего оригинальный файл троянца удаляется.

Для автоматического запуска при каждом следующем старте Windows бекдор добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

Деструктивная активность

Данный бекдор создается с помощью программы генератора editor.exe (размер — 24576 байт). Интерфейс программы выглядит следующим образом:

В главном окне генератора пользователь может ввести IP-адрес, с которого бекдор будет принимать команды, и порт. Также пользователь может ввести параметр ключа автозагрузки системного реестра и значение, которое ему следует присвоить.

При нажатии на правую кнопку генератор копирует файл server.exe в своей рабочем папке как setup.exe и дописывает в конец введенные пользователем данные в зашифрованном виде.

При запуске сгенерированного файла на компьютере жертвы он выполняет процедуру инсталляции после чего пытается соединиться с адресом, который был введен при генерации бекдора, с которого он будет принимать команды управления.

Управление производится с помощью специальной программы, интерфейс которой выглядит следующим образом:

С помощью данного бекдора злоумышленник может выполнять следующие действия на зараженном компьютере:

• получать полный доступ к файлам на жестком диске пользователя;
• загружать файлы на компьютер пользователя;
• запускать программы на компьютере пользователя;
• просматривать список процессов и выборочно завершать процессы;
• выполнять любые команды на компьютере пользователя.

Рекомендации по удалению

1. При помощи «Диспетчера задач» завершить троянский процесс.
2. Удалить следующие файлы:
   %System%\ssclie.exe
   %System%\stu.dll
3. Удалить ссылку на исполняемый файл троянца из ключа автозагрузки системного реестра:
   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
    "system"="%System%\ssclie.exe"
4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).