Trojan-Dropper.Win32.Agent.ajtw

Технические детали

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE-EXE файл). Имеет размер 20992 байта. Упакована UPX. Распакованный размер – около 55 КБ. Написана на C++.

Инсталляция

После запуска троянец копирует свое тело в следующий файл:

%WinDir%\Fonts\wuauclt.exe

Деструктивная активность

После запуска троянец для контроля уникальности своего процесса в системе создает уникальный идентификатор с именем:

318111

• в первом потоке создаются следующие ключи системного реестра:
  [HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}
  \shell\OpenHomePage\Command]
  "(Default)" = ""%Program Files%\Internet Explorer\iexplore.exe"
  moneymoney888.com"
  
  [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
  "Homepage" = "1"
  Каждые 30 минут в браузере Internet Explorer открывается сайт:

  http://jo***iao7749.com/

• Во втором потоке из тела троянца извлекается файл:

  %WinDir%\Downloaded Program Files\alg.exe

  (3740 байт; детектируется Антивирусом Касперского как "Exploit.Win32.IMG-WMF.fk") Далее извлеченный файл запускается с параметром:

  http://g.w***8.com/xx.exe

• В третьем потоке из тела троянца извлекается файл:

  %WinDir%\Fonts\TIMPIatform.exe

  (10378 байт; детектируется Антивирусом Касперского как "Trojan-Dropper.Win32.Small.cxi")

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить троянский процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить ключи системного реестра (как работать с реестром?):
   [HKLM\Software\Microsoft\Windows\CurrentVersion\policies\explorer\run]
   "360safe" = "%WinDir%\Fonts\wuauclt.exe"
   
   [HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}
   \shell\OpenHomePage\Command]
   "(Default)" = ""%Program Files%\Internet Explorer\iexplore.exe"
   moneymoney888.com"
   
   [HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel]
   "Homepage" = "1"
4. Удалить файлы:

   %WinDir%\Fonts\wuauclt.exe
   %WinDir%\Downloaded Program Files\alg.exe
   %WinDir%\Fonts\TIMPIatform.exe
   

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).