Trojan-Downloader.Win32.Small.kkt

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, которая без ведома пользователя скачивает на компьютер другое программное обеспечение и запускает его на исполнение. Является приложением Windows (PE-EXE файл). Имеет размер 18432 байта. Упакована при помощи Mystic Compressor. Написана на С++.

Инсталляция

После запуска троянец копирует свой оригинальный файл в каталог:

%Documents and Settings%\%Current User%\Application Data\

с одним из следующих имен:

7c7e.exe
5c9c.exe
56612.exe
34.exe
1483.exe

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Win32load" = %Documents and Settings%\%Current User%\
Application Data\<rnd>

где rnd – одно из имен

7c7e.exe
5c9c.exe
56612.exe
34.exe
1483.exe

Деструктивная активность

Затем троянец собирает системную информацию, а именно получает информацию о логическом диске, идентификатор продукта Windows. Для получения идентификатора продукта ОС, троянец читает значение параметра "ProductId" ключа реестра:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion]

Далее полученная информация передается в HTTP запросе на сервер злоумышленника. Запрос имеет следующий вид: Также троянец пытается отключить защиту Agnitum Outpost фаервола, путем записи служебной информации в именованный канал:

\\.\pipe\acsipc_server

Изменяет настройки фаервола McAfee

%AllUsersProfile%\Application Data\McAfee\Common Framework\SiteList.xml

Сбрасывает настройки сканера McAfee, изменив значение параметра "AccessProtectionUserRules" в ключе реестра:

[HKLM\Software\McAfee\VSCore\On Access Scanner\BehaviourBlocking]

Добавляет ссылку на свой исполняемый файл в список разрешенных приложений в брандмауэр Windows: где rnd – одно из имен

7c7e.exe
5c9c.exe
56612.exe
34.exe
1483.exe

Затем троянец пытается выполнить загрузку вредоносной библиотеки, которая размещается по ссылке:

http://mi***las.com/l/load/hide.dll

и сохраняет ее в каталоге временного хранения файлов текущего пользователя, с именем:

%Temp%\68633.dll

Загруженную библиотеку троянец запускает на выполнение. На момент создания описания ссылки не работали. Далее троянец, в отдельном потоке связывается с сервером злоумышленника и ожидает получения команд:

[update]
[loads]

При поступлении от сервера команды, троянец получает на вход ссылку на файл для скачивания и загружает по ней файл, который сохраняет в каталоге временного хранения файлов текущего пользователя, с именем:

%Temp%\<rnd2>.exe

где rnd2 – случайная цифровая последовательность. Затем загруженный файл запускается на выполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить один из троянских процессов:

   7c7e.exe
   5c9c.exe
   56612.exe
   34.exe
   1483.exe
   

2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметры в ключах реестра (как работать с реестром?):
   [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   "Win32load" = %Documents and Settings%\%Current User%\
   Application Data\<rnd>
   
   [HKLM\System\CurrentControlSet\Services\SharedAccess\
   Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   "%Documents and Settings%\%Current User%\Application Data\<rnd>
   " = "%Documents and Settings%\%Current User%\Application
   Data\<rnd>:*:Enabled:Win32load"
4. Удалить все найденные файлы:

   %Temp%\68633.dll
   %Temp%\<rnd2>.exe
   %Documents and Settings%\%Current User%\Application Data\
   7c7e.exe
   %Documents and Settings%\%Current User%\Application Data\
   5c9c.exe
   %Documents and Settings%\%Current User%\Application Data\
   56612.exe
   %Documents and Settings%\%Current User%\Application Data\
   34.exe
   %Documents and Settings%\%Current User%\Application Data\
   1483.exe
   

5. Восстановить оригинальные настройки установленных фаерволов.
6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).