Backdoor.Win32.Agent.ampt

Технические детали

Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 40448 байт. Написана на C++.

Деструктивная активность

После запуска троянец при помощи функции "GetSystemDefaultLCID" получает идентификатор набора национальных параметров, которые используются операционной системой по умолчанию. Если полученное значение соответствует:

Yakut
Armenian
Azeri
Bashkir
Belarusian
Divehi
Kazakh
Kyrgyz
Tatar
Ukrainian
Uzbek
Russian

В противном случае, троянец выполняет следующие действия:

• извлекает из своего тела файлы, которые сохраняются в системе как

  %System%\mscert.dll

  (35848 байт; детектируется Антивирусом Касперского как "Backdoor.Win32.Agent.amoj")

  %System%\kbdnet.dll

  (30208 байт; детектируется Антивирусом Касперского как "Backdoor.Win32.Agent.amnx")
• Регистрирует извлеченные библиотеки в системном реестре путем создания следующих ключей:
  [HKLM\System\CurrentControlSet\Control\Session Manager\AppCertDlls]
  "AppSecDll" = "%System%\mscert.dll"
  
  [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows]
  "AppInit_DLLs" = "%System%\kbdnet.dll"
  "LoadAppInit_DLLs" = "1"
  Таким образом, извлеченные троянцем библиотеки будут внедряться в адресные пространства всех процессов, запускаемых в системе.

После этого троянец завершает свою работу. Оригинальный файл троянца будет удален при следующей загрузке системы.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо воспользоваться Антивирусом Касперского: произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).