Backdoor.Win32.Agent.affe

Технические детали

Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 20451 байт. Написана на С++.

Инсталляция

После запуска троянец определяет имя учетной записи текущего пользователя и копирует свой исполняемый файл под следующим именем:

где <current_user> – имя текущего пользователя. Также устанавливает файлу атрибут "cкрытый".

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

Для контроля уникальности своего процесса в системе бэкдор создает уникальные идентификаторы с именами "abcd" и "ajsdoasjdoasjdasoidjaosdjoasjdaosijdsad".

Деструктивная активность

При помощи командной строки бэкдор добавляет свой оригинальный исполняемый файл в список доверенных приложений в брандмауэр Windows. Изменяет отображение стандартного системного курсора. Далее вредонос осуществляет HTTP запросы по URL вида:

на следующие IP адреса:

94.247.2.***
74.54.77.***
74.54.135.***
97.74.115.***
75.125.238.***
68.178.255.***
92.62.101.*** 

В ответе от сервера содержатся данные в зашифрованном виде. Троянец расшифровывает полученные данные и сохраняет в виде отдельных файлов в каталоге хранения временных файлов текущего пользователя с именами:

%Temp%\BN<rnd>.tmp

где rnd – случайная цифробуквенная последовательность, например, "4E" или "39". Имена загруженных по ссылкам файлов отличаются от других временных файлов наличием двух первых заглавных латинских букв "BN". На момент создания описания загруженные файлы имеют размер 90112 байт и 32270 байт и соответственно детектируются Антивирусом Касперского как Trojan-Downloader.Win32.Agent.bhis и Trojan-Dropper.Win32.Agent.amea. После чего данные файлы запускаются троянцем на выполнение.

Затем выполняет внедрение своего вредоносного функционала в адресное пространство процессов "System" и "Explorer.exe". Также бэкдор пытается выполнить подключение к устройству с именем "ndis_ver2".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ( "Диспетчера задач") завершить все троянские процессы с именами "<Сurrent_user>.exe ", "BN<rnd>.tmp".
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр в ключе системного реестра:
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "<current_user>" = "%Documents and Settings%\%Current User%\<current_user>.exe /i"
4. Удалить скрытый файл:
   %Documents and Settings%\%Current User%\<current_user>.exe
5. Очистить каталог хранения временных файлов пользователя:

   %Temp%\

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).