Trojan.Win32.Scar.cqil

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 45056 байт. Написана на C++.

Инсталляция

После запуска троянец копирует свое тело в следующий файл:

C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308
-1455\fddg.exe

Также создается файл:

C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308
-1455\Desktop.ini (63 байта)

следующего содержания:

[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}

Созданным файлам присваиваются атрибуты "только чтение" (read only), "скрытый" (hidden), "системный" (system).

Для автоматического запуска созданной копии при каждом следующем старте системы троянец создает ключи системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Tji771" = "C:\RECYCLER\S-1-5-21-0243556031-888888379
-781863308-1455\fddg.exe"

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Taskman" = "C:\RECYCLER\S-1-5-21-0243556031-888888379-
781863308-1455\fddg.exe"

а также изменяет значение ключа:

[HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell" = "explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-
888888379-781863308-1455\fddg.exe"

Деструктивная активность

Троянец внедряет в адресное пространство процесса "EXPLORER.EXE" исполняемый код, реализующий нижеописанные действия.

Для контроля уникальности процесса в системе создается уникальный идентификатор с именем:

sik34ugq

Далее устанавливается соединение с сервером:

te***hmar.com

После этого на зараженный компьютер могут загружаться файлы по переданным злоумышленником ссылкам, и запускаться на выполнение. Загруженные файлы сохраняются в каталоге хранения временных файлов текущего пользователя "%Temp%" под случайными именами. На момент создания описания указанный сервер не работал.

Также внедренный код предотвращает удаление ключей системного реестра, описанных в разделе "Инсталляция".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить, а затем заново запустить процесс "EXPLORER.EXE".
2. Удалить ключи системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "Tji771" = "C:\RECYCLER\S-1-5-21-0243556031-888888379-
   781863308-1455\fddg.exe"
   
   [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "Taskman" = "C:\RECYCLER\S-1-5-21-0243556031-888888379-
   781863308-1455\fddg.exe"
   

3. Изменить значение ключа системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "Shell" = "explorer.exe,"
   

4. Удалить файлы:

   C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-
   1455\fddg.exe
   C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-
   1455\Desktop.ini
   

5. Удалить загруженные троянцем файлы в каталоге "%Temp%".
6. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan. Выполняет действия, характерные для вредоносных программ

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 45056 байт.

Инсталляция

После запуска создает свои копии под следующими именами:

• C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fddg.exe

Создает следующие файлы на зараженном компьютере:

• C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\Desktop.ini

Обеспечивает Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузку следующих установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon ] "Taskman" = "C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fddg.exe"

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon ] "Shell" = "explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fddg.exe"

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Run ] "Tji771" = "C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fddg.exe"

Вредоносная активность

Внедряет свой код в следующие процессы:

• <­файл исходной программы­>
• explorer.exe

Копирует следующие файлы в скрытые директории:

• fddg.exe
• Desktop.ini

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• sik34ugq

Прочие действия

Производит запуск следующих файлов (команд):

• <­путь к исходной программе­><­файл исходной программы­> \"<­путь к исходной программе­><­файл исходной программы­>\"

Удаляет следующие файлы на зараженном компьютере:

• C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fddg.exe