RSS-каналы
Уровень опасности: 1
Trojan-Downloader.Win32.Agent.dlyf
| Время детектирования | 22 апр 2010 11:47 MSK |
| Время выпуска обновления | 22 апр 2010 20:17 MSK |
| Описание опубликовано | 19 май 2010 16:21 MSK |
Деструктивная активность
Рекомендации по удалению
Технические детали
Троянская программа, которая без ведома пользователя загружает из сети Интернет другие вредоносные программы и запускает их на выполнение. Программа является динамической библиотекой Windows (PE EXE-файл). Имеет размер 53248 байт. Написана на С++.
Деструктивная активность
Троянец распространяется под видом "Google Installer" – бесплатных программ от Google.
Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем:
s9a8mzjXWUUPFN6iДалее троянец создает следующий ключ реестра:
[HKCU\Software\Google\Google Updater] "GUID" = "<rnd>" "value" = "4.023"где <rnd> - случайным образом сгенерированный уникальный идентификатор, например "b7acd35b-4587-4f37-8b5f-925f03667e9d".
Каждые 5 секунд троянец отправляет HTTP - зарос на один из серверов злоумышленника:
http://server-<rnd>.******sk.ru http://server-<rnd>.r*****no.tvЗапрос имеет следующий вид:
"&statpass=bpass&version=5&guid=
<rnd3>&comment=4.023 HTTP/1.0
<rnd3> - значения параметра "GUID" выше указанного ключа системного реестра.
На момент создания описания сервера не работали.
В ответ от сервера приходит ссылка для последующей загрузки файла.
Загруженный файл сохраняется во временный каталог текущего пользователя Windows под случайно сгенерированным именем, после чего запускается на выполнение.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи Диспетчера задач завершить троянский процесс.
- Удалить ключ системного реестра:
[HKCU\Software\Google\Google Updater] "GUID" = "<rnd>" "value" = "4.023"
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Очистить каталог Temporary Internet Files:
%Temporary Internet Files%
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Вредоносная программа, предназначенная для несанкционированной пользователем загрузки и установки на компьютер-жертву новых версий вредоносных программ, установки троянцев или рекламных систем. Загруженные из интернета программы затем либо запускаются на выполнение, либо регистрируются троянцем на автозагрузку в соответствии с возможностями операционной системы.
Информация об именах и расположении загружаемых программ содержится в коде и данных троянца или скачивается троянцем с «управляющего» интернет-ресурса (обычно, с веб-страницы).
Данный тип вредоносных программ в последнее время стал часто использоваться для первоначального заражения посетителей заражённых веб-страниц, содержащих эксплойты.
Trojan-Downloader.
- Trojan:
Generic Downloader. x!drw (McAfee) - Mal/Generic-L (Sophos)
- Trojan.
Downloader-91223 (ClamAV) - Trj/Downloader.
MDW (Panda) - W32/Downldr2.
IWDM (FPROT) - Trojan:
Win32/Pupegger. B (MS(OneCare)) - Trojan.
DownLoad1. 33612 (DrWeb) - Win32/Agent.
WQE trojan (Nod32) - Backdoor.
Generic. 514982 (BitDef7) - Trojan.
DL. Agent!1Y7qjLE+0/k (VirusBuster) - Trojan-Dropper.
Agent (Ikarus) - Downloader.
Agent2. QNG (AVG) - TR/Dldr.
Agent. 53248. W (AVIRA) - Downloader (NAV)
- Trojan.
Win32. Generic. 52005E16 (Rising) - Trojan-Downloader.
Win32. Agent. dlyf [AVP] (FSecure) - TROJ_AGENT.
AWNI (TrendMicro) - Trojan.
Win32. Generic!BT (Sunbelt) - Trojan.
DL. Agent!1Y7qjLE+0/k (VirusBusterBeta)
© ЗАО «Лаборатория Касперского», 1997-2012
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей