Trojan.Win32.Agent2.ddnd

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 8704 байта. Написана на C++.

Инсталляция

Для автоматического запуска своего оригинального файла при каждой следующей загрузке системы троянец создает ключ системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"<имя исполняемого файла троянца без расширения>" = "<полный путь к оригинальному файлу троянца>"

Деструктивная активность

После запуска троянец в бесконечном цикле выполняет следующие действия:

• считывает содержимое HTML-страницы, которая находится по адресу:

  http://www.aca****ctreks.com/postinfo.html

• Анализирует полученные данные на предмет наличия ссылок для загрузки файлов.
• По полученным ссылкам загружает файлы, сохраняемые в каталоге хранения временных файлов текущего пользователя как

  %Temp%\<FileName>.exe

  Имя файла <FileName> берется из ссылки.
• В случае успешной загрузки запускает файл на выполнение.

В зависимости от результата загрузки, время между итерациями цикла может составлять 8, 10, 90 или 100 минут.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить троянский процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить ключ системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "<имя исполняемого файла троянца без расширения>" = "<полный путь к оригинальному файлу троянца>"
   

4. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: FED763A86628E820EEE6C9C8547FECB1

SHA1: C60D2E07D025B7AB09FF4B10999838758BF24B7A

Резюме

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 8704 байт.

Инсталляция

Обеспечивает Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузку следующих установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Run ] "<­файл исходной программы­>" = "<­путь к исходной программе­><­файл исходной программы­>"

Вредоносная активность

Обращается к следующим адресам в Интернете:

• http://www.***demictreks.com/postinfo.html