Trojan.Win32.Scar.dffu

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Вредоносная программа, предоставляющая злоумышленнику удаленный доступ к зараженной машине. Является приложением Windows (PE-EXE файл). Имеет размер 4096 байт. Написана на C++.

Инсталляция

После запуска бэкдор выполняет следующие действия:

• для контроля уникальности своего процесса в системе создает уникальный идентификатор с именем:

  H1N1Bot

• Копирует свое тело в файл:

  %USERPROFILE%\Local Settings\Application Data\winvv.exe

• Для автоматического запуска созданной копии при каждом следующем старте системы создает ключ системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
  "Windows Update" = "%USERPROFILE%\Local Settings\Application Data\winvv.exe"
  

Деструктивная активность

После запуска бэкдор для получения команд обращается по ссылке:

www.que-buscas.com/~ii/Zz/bot.php

На указанный сервер отправляется следующая информация о системе:

- имя пользователя;
- имя компьютера.

Далее вредонос переходит в цикл ожидания команд. Реализована обработка команд, содержащих в своих именах подстроки:

!dwnt
!clot
!remt

В зависимости от полученной команды вредонос может выполнять следующие действия:

• загружать из сети Интернет файлы по полученным ссылкам и запускать их на выполнение.
• Завершать свой процесс.
• Удалять ключ автозапуска системного реестра:

  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
  "Windows Update" = "%USERPROFILE%\Local Settings\Application Data\winvv.exe"
  

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить процесс с именем "winvv.exe".
2. Удалить файл:

   %USERPROFILE%\Local Settings\Application Data\winvv.exe

3. Удалить ключ системного реестра (Как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "Windows Update" = "%USERPROFILE%\Local Settings\Application Data\winvv.exe"
   

4. Удалить оригинальный файл вредоноса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
5. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
   

MD5: 5299F2F243F5B5B5152D847F4613DE20

SHA1: 5C0FC215025314941D7EB027D62311C183796A59