Trojan-Downloader.Win32.Small.dsr

Технические детали

Троянская программ-загрузчик. Без ведома пользователя скачивает из сети интернет программное обеспечение на компьютер пользователя и запускает его.

Программа является приложением Windows (PE EXE-файл). Имеет размер 7026 байт. Упакована при помощи UPX.

Деструктивная активность

После запуска троянец создает в системе уникальный идентификатор «gagagaradio» для определения своего присутствия в системе.

Если такой идентификатор уже был ранее создан, троянец завершает свою работу. Иначе скачивает из интернета файл по следующей ссылке:

http://81.***.3.175/cntr.php

Скачанный файл сохраняется в системном каталоге Windows с именем svcp.csv:

%System%\svcp.csv

Это текстовый файл, который содержит в зашифрованном виде ссылки на последующие скачиваемые трояном файлы и некоторую служебную информацию.

Троянец скачивает файлы по полученным ссылкам и сохраняет их в системный каталог Windows (%System%), добавляя к их имени расширение exe. После этого троянец запускает на выполнение скачанные файлы.

Кроме того в процессе работы троянец сохраняет свою служебную информацию в следующем файле:

%System%\winsub.xml

Также в процессе работы троянец проверяет наличие связи с IP-адресом 208.36.123.14, производя попытки подключения к этому адресу по 25 порту IP-протокола.

Рекомендации по удалению

1. В диспетчере задач завершить троянский процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить следующие файлы:

   %System%\svcp.csv
   %System%\winsub.xml

4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).