Trojan.Win32.Vilsel.ato

Время детектирования	10 сен 2009 22:22 MSK
Время выпуска обновления	11 сен 2009 02:35 MSK
Описание опубликовано	02 июл 2010 11:27 MSK

Экспертное описание Автоматическое описание

Это описание создано экспертами «Лаборатории Касперского» и содержит наиболее точную информацию о данном детектируемом объекте.

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, которая скачивает и устанавливает другие вредоносные программы на компьютер без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 1083904 байт. Упакован неизвестным упаковшиком, распакованный размер ~2600 к.б.

Деструктивная активность

Отключает системный Firewall изменяя значение следующего ключа реестра:

[HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] EnableFirewall=0

Пытается завершить процессы в именах которых присутствуют следующие строки:

AvSynMgr
naPrdMgr
vshwin32
McShield
mcshield
Mcdetect
mcagent
mcdash
mcvsshld
mcvsescn
mctskshd
MpfService
mcvs
opscan
ccapp
norton
SAVScan
ccApp
ccEvtMgr
ISSVC
SBServ
symlcsvc
SPBBCSvc
nod32krn
navapsvc
nava
nisum
nisserv
navwnt
AvpM
avpm
klswd
kav
kavsc avp.
AVGUARD
avguard
AVGNT
avgnt
sched
pavsrv51
AVENGINE
PNMSRV
PsImSvc
SRVLOAD
APVXDWIN
PavFnSvr
TPSrv
Inicio
pavcl
ntrtscan
OfcPfwSvc
PccNTMon
pccntupd
PNTIOMON
schupd
scan
fprot
avwin
ave32
isafe
tmntsrv
fsav32
avkwctl
ashServ
dvpapi

tsc
webtrap
TMOAgent
TeaTimer
sdhelper
Spybot
spybot
MSASCui
guard
ewido
avgas
avgemc
gcas
sunas
spys
ActiveDetection
blackd
fsdfwd
smc
zlclient
persfw
efpeadm
fsguiexe
kpf4gui
pccpfw

msscli
Tmas
swdoctor
spyc
ccsetmgr
ctagent
vsmon
webscan
dbgmgr
avp32
bdss
xcommsvr
avgamsvr
avfwsvc
avgupsvc
nvcpl
zonealarm
zlclient
scan
virus
firewall
protect
secure
optimize
nod32
mpf
agent
drweb
alert
avscan
kpf4
msblast
cfp
zapro
zonea
ave32
avp.
_av

При запуске троян регистрируется на сайте злоумышленников, открывая следующую ссылку:

http://fc.web********.de/as_noscript.php?name=load3

Скачивает файл по следующей ссылке:

http://fc.web********.de/as_noscript.php?name=rn

Скачанный файл сохраняется во временную папку под следующим именем:

%Temp%\<rnd>.tmp

где <rnd> один из следующих вариантов:

prun
rasesnet
wavvsnet
winvsnet
xpre

и после успешной закачки запускается на выполнение, после чего троян подчищает историю ссылок в Internet Explorer и завершает свою работу.

Рекомендации по удалению

Рекомендации по удалению Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

При помощи Диспетчера задач завершить вредоносный процесс.
Удалить оригинальный файл трояна (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
Очистить содержимое папки %Temp%:
Восстановить настройки системного Firewall
Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Печать

Закладки

Вредоносные программы

Троянские программы

Trojan

Вредоносная программа, предназначенная для осуществления несанкционированных пользователем действий, влекущих уничтожение, блокирование, модификацию или копирование информации, нарушение работы компьютеров или компьютерных сетей, и при всём при этом не попадающая ни под одно из других троянских поведений.

К Trojan также относятся «многоцелевые» троянские программы, т.е. программы, способные совершать сразу несколько несанкционированных пользователем действий, присущих одновременно нескольким другим поведениям троянских программ, что не позволяет однозначно отнести их к тому или иному поведению.

Другие модификации

Trojan.Win32.Vilsel.ors

Другие названия

Trojan.Win32.Vilsel.ato («Лаборатория Касперского») также известен как:

Trojan: Generic Downloader.q (McAfee)
Mal/Generic-A (Sophos)
Generic Malware (Panda)
a variant of Win32/TrojanDownloader.Agent trojan (Nod32)
Trojan.Generic.1274872 (BitDef7)
Adware.Clicker.BA (VirusBuster)
Win32:Rootkit-gen [Rtk] (AVAST)
Trojan-Downloader.Agent (Ikarus)
Downloader.Generic8.LGN (AVG)
ADSPY/Clicker.DL (AVIRA)
Trojan.Dropper (NAV)
W32/DLoader.QEUN (Norman)
TROJ_DROPPER.FVK (TrendMicro)

© ЗАО «Лаборатория Касперского», 1997-2010
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей