Trojan-Downloader.Win32.Agent.cvha

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 12288 байт. Написана на C++.

Инсталляция

Троянец копирует свое тело в следующий файл:

%System%\bevax\lsass.exe

Также в системном реестре создается ключи:

[HKLM\Software\Microsoft\Active Setup\Installed Components\
{6793328b-ef1b-3460-3460-f02ccb142743}]
"StubPath" = "%System%\bevax\lsass.exe /s"

[HKCU\Software\il]
"d" = "0100000001000000000000000000000000000000000000000
0000000000000000000000000000000"

Деструктивная активность

После запуска троянец устанавливает соединение со следующими хостами:

http://c2c1***e5.com
http://l.1***se.cn
http://se.y***my.cn

С указанных хостов на компьютер пользователя загружаются другие вредоносные программы, сохраняясь в каталоге хранения временных файлов текущего пользователя "%Temp%". После успешной загрузки файлы запускаются на выполнение. На момент создания описания файлы не загружались. Кроме того, троянец способен записывать загруженные данные в файл:

%System%\drivers\etc\hosts

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач завершить троянский процесс.
2. Удалить файл:

   %System%\bevax\lsass.exe

3. Удалить загруженные троянцем файлы в каталоге "%Temp%".
4. Восстановить оригинальное содержимое файла:

   %System%\drivers\etc\hosts

5. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
6. Удалить ключи системного реестра (как работать с реестром?):

   [HKLM\Software\Microsoft\Active Setup\Installed Components\
   {6793328b-ef1b-3460-3460-f02ccb142743}]
   "StubPath" = "%System%\bevax\lsass.exe /s"
   
   [HKCU\Software\il]
   "d" = "0100000001000000000000000000000000000000000000000000
   0000000000000000000000000000"
   

7. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).