Trojan-Downloader.Win32.Agent.ecwi

Технические детали

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение. Программа является приложением Windows (PE EXE-файл). Имеет размер 5120 байт. Написана на C++.

Деструктивная активность

После запуска троянец выполняет загрузку файлов со следующих URL адресов:

http://89.***.229/dm/files/aukhrfbv.exe
http://89.***.229/dm/files/hftywmn.exe
http://89.***.229/dm/files/knwtxtk.exe
http://89.***.229/dm/files/sdknfhl.exe

Сохраняет загруженные файлы во временный каталог текущего пользователя под именами:

%Temp%\BN<rnd>.tmp
%Temp%\BN<rnd>.tmp
%Temp%\BN<rnd>.tmp
%Temp%\BN<rnd>.tmp

Далее троянец выполняет запуск загруженных файлов, после чего удаляет их.

Затем троянец удаляет свое оригинальное тело и завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %Temp%\BN<rnd>.tmp
   %Temp%\BN<rnd>.tmp
   %Temp%\BN<rnd>.tmp
   %Temp%\BN<rnd>.tmp
   

   где <rnd> - произвольная последовательность цифр и букв латинского алфавита.
3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Технические детали

Имеет размер 5120 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN1.tmp
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN4.tmp
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN3.tmp
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN2.tmp

Вредоносная активность

Обращается к следующим адресам в Интернете:

• http://***.149.223.229/dm/files/knwtxtk.exe
• http://***.149.223.229/dm/files/sdknfhl.exe
• http://***.149.223.229/dm/files/hftywmn.exe
• http://***.149.223.229/dm/files/aukhrfbv.exe

Прочие действия

Производит запуск следующих файлов (команд):

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\cmd.exe /c del <­путь к исходной программе­><­файл исходной программы­> >> NUL

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN1.tmp
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN4.tmp
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN3.tmp
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\BN2.tmp