Trojan-Dropper.Win32.Agent.aejs

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE-EXE файл). Имеет размер 29827 байт. Упакована неизвестным упаковщиком. Распакованный размер – около 87 КБ. Написана на C++.

Инсталляция

Троянец копирует свое тело в файл:

%System%\zhuruqi.exe

Для автоматического запуска созданной копии при каждом следующем старте системы создается ключ системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"zhuruqi" = "%System%\zhuruqi.exe"

Деструктивная активность

После запуска троянец выполняет следующие действия:

• пытается подгрузить в свое адресное пространство библиотеки с именами:

  krnln.fne
  krnln.fnr
  

  и вызвать из них функции:

  GetNewInf
  GetNewSock
  

• Извлекает из своего тела файл, который сохраняется в системе как

  %System%\TIANLAI.dll

  (12751 байт; детектируется Антивирусом Касперского как "Trojan-Downloader.Win32.Agent.bcki")
• Внедряет извлеченную библиотеку в адресное пространство процесса "EXPLORER.EXE".

После этого троянец завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить, а затем заново запустить процесс "EXPLORER.EXE".
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить файлы:

   %System%\zhuruqi.exe
   %System%\TIANLAI.dll

4. Удалить ключ системного реестра (как работать с реестром?):

   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "zhuruqi" = "%System%\zhuruqi.exe"
   

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).