Trojan-Downloader.Win32.FraudLoad.wvff

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их на выполнение. Является приложением Windows (PE-EXE файл). Имеет размер 150016 байт. Написана на C++.

Деструктивная активность

После запуска троянец выполняет следующие действия:

• запускает системную утилиту "taskkill.exe" с параметрами:

  /F /IM MSASCui.exe

  Это приводит к завершению процесса "MSASCui.exe".
• Загружает из сети Интернет файл по одной из следующих ссылок:

  http://freeavtest.com/*****/<SystemInfo>==/info.jpg
  http://safe-updates.com/*****/<SystemInfo>==/info.jpg

  Значение подстроки <SystemInfo> формируется на основании серийного номера диска C:, а также значений ключей системного реестра:

  [HKLM\Software\Microsoft\Windows NT\CurrentVersion]
  "ProductId"
  "CSDVersion"
  "CurrentVersion"

  Загруженный файл сохраняется во временном каталоге текущего пользователя как

  %Temp%\lhl<rnd>.tmp

  где <rnd> – случайное шестнадцатеричное число.
  
  На момент создания описания загружался файл размером 2563945 байт.
  
  Во время загрузки файла троянец выводит на экран окно следующего вида:
  
  

   

• Расшифровывает содержимое загруженного файла. Расшифрованные данные помещаются в файл:

  %Temp%\asp2009.exe

  (2563073 байта; детектируется Антивирусом Касперского как "Trojan-Downloader.Win32.FraudLoad.wwdb")
• Запускает на выполнение файл "%Temp%\asp2009.exe".
• Удаляет файл "%Temp%\lhl.tmp". После этого троянец завершает свою работу.
  
  

  Рекомендации по удалению

  Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  2. Удалить файл:

     %Temp%\asp2009.exe

  3. Очистить каталог Temporary Internet Files.
  4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).