Trojan-Downloader.Win32.Adload.m

Технические детали

Троянская программа-загрузчик. Без ведома пользователя скачивает из Интернета программное обеспечение и запускает его. Программа является приложением Windows (PE EXE-файл). Имеет размер около 7500 байт, упакована NsPack, размер распакованного файла — около 37 КБ. Написана на языке Ассемблер.

Деструктивная активность

При запуске программа создает поток для работы с брандмауэром ОС Windows, который утвердительно отвечает на запросы брандмауэра о разрешении сетевой активности для троянского приложения. Поток постоянно сканирует систему в поиске окон содержащих в своем заголовке такие строки:

Если такие окна существуют, программа имитирует нажатие мышки на кнопку «OK», которая размещена на этих окнах.

Так же программа ищет в системе окно с заголовком:

Если находит, то имитирует нажатие на кнопку «Unblock», размещенную на этом окне.

Так же если в системе существует окно с заголовком:

Программа имитирует выбор в этом окне опции «Allow all activities for this application» и нажатие на кнопку «OK».

После этого поток ищет окно с заголовком «PermissionDlg», имитирует выбор в этом окне опции «Remember this answer the next time I use this program» и нажатие на кнопку «Yes» в этом окне.

Кроме этого троянец выполняет следующие действия:

Cоздает следующий параметр в ключе системного реестра Windows:

В различных вариантах данного троянца значение указанного параметра может быть другим.

Пытается скрыть свой процесс из списка процессов с помощью вызова скрытой функции ОС Windows 98 — RegisterServiceProcess.

Ждет соединения с интернетом, после чего загружает файл, находящийся по адресу:

и сохраняет его в каталог %WinDir%/uniq/.

Далее троянец загружает из интернета на компьютер пользователя следующие файлы:

и сохраняет их под следующими именами:

После чего загруженные файлы запускаются на исполнение.

Рекомендации по удалению

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. В диспетчере задач завершить следующие процессы:

   kl.exe
   tool1.exe
   tool2.exe
   tool3.exe
   tool4.exe
   tool5.exe
   country.exe
   countrydial.exe
   paytime.exe
   toolbar.exe
   ms1.exe

3. Удалить все загруженные трояном файлы:

   %WinDir%\kl.exe
   %WinDir%\country.exe
   %WinDir%\countrydial.exe
   %WinDir%\secure32.html
   %System%\paytime.exe
   %WinDir%\toolbar.exe
   %WinDir%\tool1.exe
   %WinDir%\tool2.exe
   %WinDir%\tool3.exe
   %WinDir%\tool4.exe
   %WinDir%\tool5.exe
   %WinDir%\ms1.exe
   %WinDir%\hosts

4. Удалить следующий ключ реестра:
   [HKCU\Software\Microsoft\Windows\CurrentVersion]
    "adv579"="adv579"
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами скачать пробную версию).