RSS-каналы
Уровень опасности: 1
Trojan-Downloader.Win32.Banload.dcd
| Время детектирования | 04 сен 2007 05:47 MSK |
| Время выпуска обновления | 04 сен 2007 05:47 MSK |
| Описание опубликовано | 07 авг 2008 17:57 MSK |
Деструктивная активность
Рекомендации по удалению
Технические детали
Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Программа является приложением Windows (PE EXE-файл). Имеет размер 113152 байта. Ничем не упакована. Написана на Visual Basic.
Инсталляция
После запуска троянец копирует свое тело в каталог программ Windows под именем "lsass.exe":
Для автоматического запуска при каждом следующем старте системы троянец создает ссылку на свой исполняемый файл в ключе автозапуска системного реестра:
"lsass" = "%Program Files%\Microsoft Studio Files\lsass.exe"
Далее троянец в своем каталоге установки создает файл командного интерпретатора "vcdg.bat":
в который записывает следующие строки:
Files\lsass.exe" NAME="Session Win32" MODE=ENABLE PROFILE=ALL
Таким образом, троянец добавляет настройку в конфигурацию файервола Windows XP, которая разрешает выполнение любой сетевой активности для вредоносного процесса.
Затем файл "%Program Files%\Microsoft Studio Files\vcdg.bat" запускается на выполнение.
Деструктивная активность
После инсталляции троянец выполняет загрузку файлов, расположенных по следующим адресам:
http://www.*****-consult.net/rcss.res
http://www.photo-*****.ru/images/exhibition_moll2005_file0031.jpg
На момент создания описания указанные ссылки не работали.
Данный файл имеет размер 2603325 байт и детектируется Антивирусом Касперского, как Trojan-Spy.Win32.Banbra.bak.
Загруженные файлы сохраняются в каталог установки троянской программы под случайными именами и запускаются на выполнение.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи ( "Диспетчера задач") завершить троянский процесс.
- Удалить параметр в ключе системного реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"lsass" = "%Program Files%\Microsoft Studio Files\lsass.exe" - Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить каталог со всем его содержимым:
%Program Files%\Microsoft Studio Files
- Очистить каталог %Temporary Internet Files%.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Вредоносная программа, предназначенная для несанкционированной пользователем загрузки и установки на компьютер-жертву новых версий вредоносных программ, установки троянцев или рекламных систем. Загруженные из интернета программы затем либо запускаются на выполнение, либо регистрируются троянцем на автозагрузку в соответствии с возможностями операционной системы.
Информация об именах и расположении загружаемых программ содержится в коде и данных троянца или скачивается троянцем с «управляющего» интернет-ресурса (обычно, с веб-страницы).
Данный тип вредоносных программ в последнее время стал часто использоваться для первоначального заражения посетителей заражённых веб-страниц, содержащих эксплойты.
Trojan-Downloader.
- Trojan:
PWS-Banker. dldr (McAfee) - Troj/Banld-B (Sophos)
- Trojan.
Downloader-14271 (ClamAV) - Trj/Nabload.
DNH (Panda) - W32/Trojan.
CADQ (FPROT) - TrojanDownloader:
Win32/Banload. FP (MS(OneCare)) - a variant of Win32/TrojanDownloader.
Banload trojan (Nod32) - Trojan.
Generic. 58501 (BitDef7) - Trojan.
DL. Banload. FOU (VirusBuster) - Win32:
Banload-CRR [Trj] (AVAST) - Trojan.
Banker. LEM (Ikarus) - VB.
AKY (AVG) - TR/Crypt.
CFI. Gen (AVIRA) - Downloader (NAV)
- W32/Banload.
AAEM (Norman) - PWS-Banker.
dldr (NAI) - TROJ_BANLOAD.
CLK (PCCIL) - Trojan.
DL. Win32. Banload. dcd (Rising) - TROJ_BANLOAD.
CLK (TrendMicro)
© ЗАО «Лаборатория Касперского», 1997-2010
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей