Trojan.Win32.Agent2.cmry

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является динамической библиотекой Windows (PE-DLL файл). Имеет размер 12800 байт. Написана на C++.

Деструктивная активность

Троянская библиотека экспортирует функцию с именем "AboutDlgProc", при запуске которой выполняются следующие действия:

• если в системе найден процесс "360tray.exe", троянец получает путь к исполняемому файлу данного процесса, и запускает этот файл с параметром:

  /uninstsp

• Из тела троянца извлекается файл, который сохраняется в каталоге хранения временных файлов текущего пользователя как

  %Temp%\op.z

  (3584 байта; детектируется Антивирусом Касперского как "Backdoor.Win32.HacDef.tpne") где – случайное семизначное шестнадцатеричное число.
• В системе создается и запускается служба с именем "aav", исполняемым файлом которой является извлеченный ранее драйвер. Драйвер содержит функционал, обеспечивающий выгрузку из системной памяти процессов:

  360tray.exe
  safeboxtray.exe
  ras.exe
  avp.exe
  

• Затем созданная служба "aav" останавливается и удаляется. Также удаляется файл:

  %Temp%\op.z

• Кроме того, создается следующий ключ системного реестра:

  [HKLM\Software\Microsoft\Windows NT\CurrentVersion\
  Image File Execution Options\avp.exe]
  "Debugger" = "services.exe"
  

Таким образом, блокируется запуск процесса "avp.exe".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить ключ системного реестра (как работать с реестром?):

   [HKLM\Software\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\avp.exe]
   "Debugger" = "services.exe"
   

3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).