Trojan-Dropper.Win32.Agent.dnvu

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 38056 байт. Написана на C++.

Деструктивная активность

После запуска троянец извлекает из своего тела вредоносный драйвер, который сохраняет под именами:

%Temp%\cdfss
%System%\drivers\wcscd.sys

Данный файл имеет размер 30560 байт и детектируется антивирусом Касперского как Rootkit.Win32.Agent.bkwm. После этого троянец устанавливает в системе вредоносный драйвер под видом служб с именами "cdfss" и "wcscd". При этом в системном реестре создаются следующие ключи:

[HKLM\System\CurrentControlSet\Services\cdfss]
"Type"=dword:00000001
"Start"=dword:00000001
"ImagePath"="%Temp%\cdfss"
"ProcessId"=dword:000008cc

[HKLM\System\CurrentControlSet\Services\cdfss\Enum]
"0"="Root\\LEGACY_CDFSS\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

[HKLM\System\CurrentControlSet\Services\wcscd]
"Type"=dword:00000001
"Start"=dword:00000001
"ImagePath"="%System%\drivers\wcscd.sys"

[HKLM\System\CurrentControlSet\Services\wcscd\Enum]
"0"="Root\\LEGACY_WCSCD\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
"INITSTARTFAILED"=dword:00000001

Затем используя функцию "NtLoadDriver()" загружает драйвер "cdfss" на выполнение.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Перезагрузить компьютер в "безопасном режиме" (в самом начале загрузки нажать и удерживать клавишу "F8", затем выбрать пункт "Safe Mode" в меню загрузки Windows).
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить ключи системного реестра:

   [HKLM\System\CurrentControlSet\Services\cdfss]
   [HKLM\System\CurrentControlSet\Services\wcscd]
   

4. Удалить файлы:

   %Temp%\cdfss
   %System%\drivers\wcscd.sys
   

5. Выполнить загрузку ОС в "обычном режиме".
6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan-Dropper. Скрытно устанавливает в систему другие вредоносные программы

Технические детали

Имеет размер 38056 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\cdfss

Вредоносная активность

Создает следующие файлы:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\drivers\wcscd.sys

После чего обеспечивается Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузка установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SYSTEM\ControlSet001\Services\wcscd ] "ImagePath" = "system32\drivers\wcscd.sys"

Прочие действия

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SYSTEM\ControlSet001\Services\wcscd ] "Type" = "0x1"

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SYSTEM\ControlSet001\Services\wcscd ] "Start" = "0x1"

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SYSTEM\ControlSet001\Services\cdfss ] "Type" = "0x1"

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SYSTEM\ControlSet001\Services\cdfss ] "Start" = "0x1"

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SYSTEM\ControlSet001\Services\cdfss ] "ImagePath" = "\??\ Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\cdfss"

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SYSTEM\ControlSet001\Services\cdfss ] "ProcessId" = "0x5EC"

Удаляет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\Registry\Machine\System\CurrentControlSet\Services\cdfss ]