Trojan-Downloader.Win32.Agent.mee

Технические детали

Троянская программа. Является приложением Windows (PE EXE-файл). Размер зараженных файлов варьируется в пределах от 70 до 260 КБ. Ничем не упакована. Написана на Delphi.

Инсталляция

После запуска троянец копирует свое тело в подкаталог "inetsrv" системного каталога Windows под именем "lsass.exe":

%System%\inetsrv\lsass.exe

Данному файлу присваиваются атрибуты "скрытый" и "только чтение".

Для автоматического запуска при каждом следующем старте системы троянец создает ссылку на свой исполняемый файл в ключе автозапуска системного реестра:

 [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"load" = "%System%\inetsrv\lsass.exe"

Таким образом троянец будет запускаться до входа пользователя в систему.

Также троянец создает в системе уникальный идентификатор «izokraSizokraS» для определения своего присутствия в системе.

Создает ключ реестра:

 [HKLM\Software\Microsoft\Internet Explorer\inet.]
"Day" = "<дата запуска троянца>" 

Деструктивная активность

Троянец копирует свое тело во все доступные на запись сетевые, логические и съемные диски под именем:

<X>:\MSOCache\90000804-6000-11D3-8CFE-0150048383C9\lsass.exe

где <X> - буква диска.

Так же вместе со своим исполняемым файлом троянец помещает в корень диска сопровождающий файл:

<X>:\autorun.inf

который запускает исполняемый файл троянца, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Всем созданным файлам присваиваются атрибуты "скрытый" и "только чтение".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ( "Диспетчера задач") завершить троянский процесс.
2. Удалить ключ системного реестра:

    [HKLM\Software\Microsoft\Internet Explorer\inet.]
   "Day" = "<дата запуска троянца>" 

3. Удалить значение параметра ключа:

    [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   "load" = "%System%\inetsrv\lsass.exe"

4. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
5. Удалить файлы:

   %System%\inetsrv\lsass.exe
   <X>:\MSOCache\90000804-6000-11D3-8CFE-0150048383C9\lsass.exe
   <X>:\autorun.inf

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Технические детали

Имеет размер 261634 байт.

Вредоносная активность

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• izokraSizokraS

Прочие действия

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Internet Explorer\inet. ] "Day" = "3/4/2010"