Trojan-GameThief.Win32.Magania.cnkt

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, относящаяся к семейству троянцев ворующих пароли от пользовательских учетных записей on-line игр. Программа является приложением Windows (PE EXE-файл). Имеет размер 115016 байта. Написана на C++.

Инсталляция

После активации троянец копирует свой исполняемый файл во временный каталог текущего пользователя Windows со случайным именем состоящим из прописных латинских букв, например:

%Temp%\herss.exe

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"cdoosoft" = "%Temp%\herss.exe"

Далее троянец извлекает из своего тела динамическую библиотечку DLL во временный каталог текущего пользователя Windows под именем "cvasds<rnd>.dll":

%Temp%\cvasds<rnd>.dll

Где <rnd> - случайная цифра.

Данный файл имеет размер 75481 байт и детектируется Антивирусом Касперского как Trojan-GameThief.Win32.Magania.cnkt.

Данная библиотека подгружается в адресное пространство процесса "explorer".

После чего всем созданным файлам присваивается атрибут "скрытый".

Троянец извлекает из своего тела драйвер, и записывает его вместо стандартного содержимого системного драйвера "cdaudio.sys":

%System%\driver\cdaudio.sys

При этом размер, дата создания и атрибуты драйвера остаются такие же как и у оригинального драйвера "cdaudio.sys".

Для запуска драйвера троянец создает службу с именем "AVPsys":

[HKLM\SYSTEM\CurrentControlSet\Services\AVPsys]
"DisplayName" = "AVPsys"
"ImagePath" = "\\??\\%System\drivers\cdaudio.sys.sys"
"ErrorControl" = "1"
"Start" = "3"
"Type" = "1"

После инсталляции троянец удаляет свое оригинальное тело.

Распространение

Троянец копирует свой исполняемый файл на все логические и съемные диски:

<X>:\<rnd>.exe

где, <rnd> - случайная последовательность цифр и букв латинского алфавита, например "6ruaqx", X – буква диска.

Так же вместе со своим исполняемым файлом троянец помещает в корень диска сопровождающий файл:

<X>:\autorun.inf

который запускает исполняемый файл троянца, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Всем созданным файлам присваивается атрибут "скрытый".

Деструктивная активность

Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем:

KJLDSOIUBGDSEROPOFGSFSIKDQ_MN

Во время работы троянец подгружает извлеченную библиотеку во все запущенные процессы в системе и с ее помощью перехватывает нажатия клавиш клавиатуры и мыши, если запущены процессы:

maplestory.exe
ageofconan.exe
lotroclient.exe
cabalmain.exe
maplestory.exe
gw.exe
wow.exe

Троянец анализирует траффик идущий к следующим адресам:

203.144.223.173
203.144.223.174
203.144.223.175
203.144.223.176
203.144.223.169
203.144.223.170
203.144.223.171
203.144.223.172
203.144.223.165
203.144.223.166
203.144.223.167
203.144.223.168
203.144.223.161
203.144.223.162
203.144.223.163
203.144.223.164
203.144.223.157
203.144.223.158
203.144.223.159
203.144.223.160
203.144.223.153
203.144.223.154
203.144.223.155
203.144.223.156
203.144.223.149
203.144.223.150
203.144.223.151
203.144.223.152
203.144.223.145
203.144.223.146
203.144.223.147
203.144.223.148
203.144.223.141
203.144.223.142
203.144.223.143
203.144.223.144
38.99.82.209
38.99.82.213
38.99.82.217
38.99.82.221
38.99.82.242
38.99.82.209
38.99.82.213
38.99.82.217
38.99.82.221
38.99.82.227
38.99.82.232
38.99.82.237
38.99.82.242

Таким способом троянец пытается похитить информацию о учетных записях игроков для игр:

Maple Story
World of Warcraft
The Lord of the Rings Online
Guild Wars
CABAL Online (SG MY)
Age of Conan
Fly For Fun

Также троянец анализирует файлы настроек вышеупомянутых игр и пытается извлечь из них информацию о учетных записях игрока на игровых серверах.

Собранные данные отправляются на сайт злоумышленнику в HTTP запросах:

http://goo***l6s.com/y2y3/mfg/lin.asp
http://goo***l6s.com/y2y3/mwo/lin.asp
http://goo***l6s.com/y2y3/mqs/lin.asp
http://goo***l6s.com/y2y3/msl/lin.asp
http://goo***l6s.com/y2y3/ohs/lin.asp
http://goo***l6s.com/y2y3/myt/lin.asp
http://goo***l6s.com/y2y3/xfg/lin.asp
http://goo***l6s.com/y2y3/tjt/lin.asp
http://goo***l6s.com/y2y3/odo/lin.asp
http://goo***l6s.com/y2y3/ofg/lin.asp
http://goo***l6s.com/y2y3/mjz/lin.asp
http://goo***l6s.com/y2y3/yhz/lin.asp
http://goo***l6s.com/y2y3/mnf/lin.asp
http://goo***l6s.com/y2y3/txw/lin.asp
http://goo***l6s.com/y2y3/mtt/lin.asp
http://goo***l6s.com/y2y3/lyt/lin.asp
http://goo***l6s.com/y2y3/dlh/lin.asp
http://goo***l6s.com/y2y3/all/lin.asp
http://goo***l6s.com/y2y3/msy/lin.asp

Троянец производит загрузку файла со следующего URL:

http://www.sin**wk.com/1mg/am1.rar

На момент создания описания ссылка не работала.

Загруженный файл сохраняется во временный каталог текущего пользователя Windows под оригинальным именем и запускается на выполнение.

Троянец отключает отображение скрытых файлов и папок, устанавливает по умолчанию автоматический запуск дисков, изменяя значения следующих параметров ключей системного реестра:

Если на зараженной системе установлен Антивирус Касперского 7, то троянец отключает автоматическое обновление баз изменяя значения следующего параметра системного реестра: Троянец пытается завершить следующие процессы:

LIVESRV.EXE
VCRMON.EXE
Update.exe
CCSVCHST.EXE
ALUSCHEDULERSVC.EXE
luall.exe
ASHDISP.EXE
EKRN.EXE
AVP.EXE
UFSEAGNT.EXE
SfFnUp.exe
UfUpdUi.exe
AVGNT.EXE
preupd.exe
VSTSKMGR.EXE
mcupdate.exe
AVGRSX.EXE
avgupd.exe

Пытается заполнить случайным мусором файл:

%System%\drivers\klif.sys

Так же троян снимает все перехваты в KeServiceDescriptorTable при помощи системного устройства

\device\physicalmemory

Ищет в запущенных процессах процесс avp.exe и если находит, получает путь к папке, где находится исполняемый файл процесса и в ней ищет файл prupdate.ppl, если такой файл найден троян записывает в начало файла 3 нулевых байта и таким образом портит его заголовок.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить троянский процесс.
2. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить файлы:

   <X>:\<rnd>.exe
   <X>:\autorun.inf
   %Temp%\cvasds0.dll
   %Temp%\<rnd>.exe
   

4. Удалить ключ системного реестра:
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "herss.exe" = "%Temp%\<rnd>.exe"
5. Очистить каталог Temporary Internet Files:

   %Temporary Internet Files%

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).