Trojan-Downloader.Win32.Adload.ajek

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 90112 байт. Написана на C++.

Деструктивная активность

После запуска троянец выполняет следующие действия:

• создает в каталоге хранения временных файлов текущего пользователя каталог:

  %Temp%\stb.tmp

  где <rnd> – случайное двухзначное шестнадцатеричное число.
• Загружает из сети Интернет файл по следующей ссылке:

  http://upgrade.qu***scantwo.com/install.aspx?b=questscan

  Загруженный файл сохраняется в ранее созданном каталоге как

  %Temp%\stb.tmp\setup.exe

• Запускает загруженный файл на выполнение.
• Дождавшись завершения выполнения запущенного файла, удаляет файл:

  %Temp%\stb.tmp\setup.exe

  а также каталог:

  %Temp%\stb.tmp

• Информирует злоумышленника об успешной установке вредоносного ПО на зараженном компьютере, открывая ссылку:

  http://upgrade.qu***scantwo.com/?vn=0&kn0=017&rea=<число>&qefj09=57&cid=<текстовая строка>&muuo91=74&b=questscan&hye7=9445&ptag=QstscanPB&fag4=45&av=<текстовая строка>&uqjm53=0700&product=0&na4=652&as=<текстовая строка>
  

• Для удаления своего оригинального файла после завершения его работы запускает системный командный интерпретатор "CMD.EXE" с параметрами:

  /c ping 127.0.0.1 -n 2 && del "<полный путь к оригинальному файлу троянца>"

После этого троянец завершает свою работу.

На момент создания описания по вышеуказанной ссылке загружался файл размером 715598 байт, детектируется Антивирусом Касперского как "not-a-virus:AdWare.Win32.Zwangi.hef".

Загруженный файл предназначен для установки на зараженном компьютере рекламного программного обеспечения, которое способно отслеживать поисковые запросы, вводимые пользователем в адресной строке браузеров "Internet Explorer" и "Google Chrome". В ответ на запрос пользователю выдается список ссылок, получаемый с сервера злоумышленника. Окно, открываемое инсталлятором после запуска, имеет вид:

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ("Диспетчера задач") завершить троянский процесс.
2. При помощи ("Диспетчера задач") завершить процесс "setup.exe".
3. Удалить файл:

   %Temp%\stb.tmp\setup.exe

4. Удалить каталог:

   %Temp%\stb.tmp

5. Удалить оригинальный файл вредоноса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: 2DADCA8E1B0EE22493E3331EFCE9C4C5

SHA1: D7CA6BDFBC52AF8750B98F9FAA6FBBFD03E36C8D