Trojan-Downloader.Win32.Small.ktm

Технические детали

Троянская программа, открывающая Интернет страницы без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 3584 байта. Написана на C++.

Деструктивная активность

После запуска троянец выполняет следующие действия:

1. для идентификации своего присутствия в системе записывает в файл:

   %WinDir%\system.ini

   строку "1" в секцию с именем "oiuo94" ключ "woeiu".
2. Добавляет свой исполняемый файл в список доверенных приложений брандмауэра Windows, создавая ключ системного реестра:

   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   "<полный путь к оригинальному файлу троянца>" = "<полный путь к 
   оригинальному файлу троянца>:*:Enabled:ipsec"
   

3. Выполняет обращение по следующей ссылке:

   http://n***oo.com/figamaca.php

   Далее троянец после паузы в 40 секунд завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить секцию "oiuo94" из файла:

   %WinDir%\system.ini

3. Удалить ключ системного реестра (как работать с реестром?):

   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   "<полный путь к оригинальному файлу троянца>" = "<полный путь к 
   оригинальному файлу троянца>:*:Enabled:ipsec"
   

4. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).