Trojan.Win32.Agent2.kln

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 11776 байт. Написана на C++.

Деструктивная активность

После запуска троянец получает идентификатор набора национальных параметров LCID, и проверяет первичный идентификатор национального языка. Если он соответствует значению "Russian", то троянец удаляет свой оригинальный файл и завершает свою работу. В противном случае, троянец выполняет внедрение своего вредоносного кода в процесс с именем "Explorer" и загружает из сети Интернет файлы по следующим ссылкам:

http://bewfsnfwka.net/progs/cmjaaoswkk/khhivwne
http://aeardyrvgt.com/progs/cmjaaoswkk/khhivwne
http://bewfsnfwka.net/progs/cmjaaoswkk/jgctuh.php
http://aeardyrvgt.com/progs/cmjaaoswkk/jgctuh.php
http://bewfsnfwka.net/progs/cmjaaoswkk/urrssgxk.php
http://aeardyrvgt.com/progs/cmjaaoswkk/urrssgxk.php
http://bewfsnfwka.net/progs/cmjaaoswkk/zvwwno.php
http://aeardyrvgt.com/progs/cmjaaoswkk/zvwwno.php
http://bewfsnfwka.net/progs/cmjaaoswkk/lrfstkx.php
http://aeardyrvgt.com/progs/cmjaaoswkk/lrfstkx.php
http://bewfsnfwka.net/progs/cmjaaoswkk/zfttgh.php
http://aeardyrvgt.com/progs/cmjaaoswkk/zfttgh.php
http://bewfsnfwka.net/progs/cmjaaoswkk/vsstg.php
http://aeardyrvgt.com/progs/cmjaaoswkk/vsstg.php

На момент создания описания ссылки не работали.

Загруженные файлы сохраняются под следующими именами:

c:\xbmqgeyn.exe
c:\udwnxe.exe
c:\lhkeufwk.exe
c:\lnrqiyh.exe
c:\nojjv.exe
c:\hgjokgc.exe
c:\lquq.exe

Далее троянец для удаления своего оригинального файла после завершения его работы запускает системный командный интерпретатор "CMD.EXE" со следующими параметрами:

/c del <полный путь к оригинальному файлу троянца> > nul

После этого троянец завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   c:\xbmqgeyn.exe
   c:\udwnxe.exe
   c:\lhkeufwk.exe
   c:\lnrqiyh.exe
   c:\nojjv.exe
   c:\hgjokgc.exe
   c:\lquq.exe
   

3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

MD5: 546878E9C42EA4CF38E1738E0E328D34

SHA1: F5B2D3A185276F4726BFE37284006AD666F11A02