Trojan-PSW.Win32.OnLineGames.q

Технические детали

Троянская программа, похищающая конфиденциальные данные пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 11816 байт. Упакована UPack. Распакованный размер – около 82 КБ. Написана на C++.

Инсталляция

После запуска троянец выполняет следующие действия:

• копирует свое тело в файл:

  %System%\kb<rnd>.dll

  где <rnd> – девятизначное десятичное число, сформированное на основании текущего системного времени.
• создает в системе файлы:

  %System%\drivers\jxsiekc.dat (1010 байт)
  %System%\wsconfig.db (45 байт)
  

  В файл "wsconfig.db" записывается строка, содержащая полный путь к созданной копии троянца. Дописывает в файл системной библиотеки

  %System%\imm32.dll

  секцию с именем ".ss32", содержащую исполняемый код, предназначенный для загрузки копии троянца "kb<rnd>.dll" в адресное пространство всех процессов, подгружающих данную библиотеку. При этом размер файла "imm32.dll" увеличивается на 1028 байт. Оригинальный файл библиотеки сохраняется как

  %System%\imm32.dll.bak

• Троянец содержит в своем теле хеш имени процесса, полученный при помощи алгоритма хеширования MD5, который сравнивает с хешами имен всех запущенных в системе процессов. Если хеши совпали, найденный процесс завершается.
• Для удаления своего оригинального файла после завершения его работы создает сценарий командного интерпретатора

  c:\del<rnd1>.bat

  где <rnd1> – случайное семизначное шестнадцатеричное число следующего содержания:

  :Repeat
  del "<полный путь к оригинальному файлу троянца>"
  if exist "<полный путь к оригинальному файлу троянца>" goto Repeat
  del "c:\del<rnd1>.bat"
  

• Запускает созданный сценарий и завершает свою работу. При этом сам сценарий также удаляется.

Деструктивная активность

Устанавливая перехватчики на некоторые функции библиотеки "text.dll", подгруженной в адресное пространство процесса "jxonline.exe", троянец похищает конфиденциальную информацию пользователей онлайн игры "JX Online". Полученные данные отправляются в POST-запросе на сервер злоумышленника.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Перезагрузить компьютер в «безопасном режиме» (в самом начале загрузки нажать и удерживать клавишу «F8», затем выбрать пункт «Safe Mode» в меню загрузки Windows).
2. Удалить файлы:

   %System%\kb<rnd>.dll
   %System%\drivers\jxsiekc.dat 
   %System%\wsconfig.db 
   %System%\imm32.dll
   

3. Переименовать файл

   %System%\imm32.dll.bak

   в "imm32.dll".
4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).