Trojan-Downloader.Win32.Agent.zf

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Резидентная троянская программа, написана на Microsoft Visual C++. Является приложением Windows (PE EXE-файл). Размер файла — 7013 байт. Встречаются версии данного троянца, размер которых существенно варьируется.

Деструктивная активность

После запуска троянец копирует себя в корневой каталог Windows с именем SERVICES.EXE и запускает свою копию на исполнение.

После этого оригинальный запускаемый файл удаляется.

Также троянец создает следующие ключи в системном реестре:

Запущенный троянский процесс SERVICES.EXE в отдельном потоке постоянно создает следующие значения в системном реестре:

Таким образом при каждой следующей загрузке Windows автоматически запустит файл троянца.

Завершить троянский процесс не представляется возможным, так как Windows считает его своим системным процессом (%system%\services.exe — вследствие идентичности имени троянца с оригиналом, также запущенным в системе).

Троянская программа также имеет функцию загрузки файлов из интернета и запуска их на компьютере пользователя.

Рекомендации по удалению

Для ручного удаления программы следует выполнить следующие действия:

1. Создать файл c:\rescue.bat, содержащий такие строки:
   @echo off
   :try
   del C:\WINDOWS\SERVICES.EXE
   if exist C:\WINDOWS\SERVICES.EXE goto try
2. Изменить значение следующего ключа реестра:
   [HKLM\System\CurrentControlSet\Services\Eventlog]
    "ImagePath"="%SystemRoot%\system32\services.exe"
   На:
    "ImagePath"="C:\rescue.bat"
   Таким образом, вместо системной службы Event Log запустится созданный файл rescue.bat
3. Перезагрузить компьютер. После перезагрузки системы троянец будет удален.
4. Восстановить прежнее значение ImagePath:
   [HKLM\System\CurrentControlSet\Services\Eventlog]
    "ImagePath"="%SystemRoot%\system32\services.exe"
5. Удалить следующие ссылки в реестре:

   [HKLM\Software\Microsoft\Serenta]

   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
    "SERVICES.EXE"="%Windir%\SERVICES.EXE"

6. Изменить значения следующих параметров:
   [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    "Shell"="Explorer.exe %Windir%\SERVICES.EXE"
   На:
    "Shell"="Explorer.exe"
    "Userinit"="C:\WINDOWS\system32\userinit.exe,,%Windir%\SERVICES.EXE"
   На:
    "Userinit"="C:\WINDOWS\system32\userinit.exe"
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).