Trojan-Downloader.Win32.FraudLoad.gsw

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 45056 байт. Написана на C++.

Деструктивная активность

После запуска троянец выполняет следующие действия:

• выгружает из системной памяти процессы:

  MEGAPROTECT.EXE
  MegaRun.exe
  

• Вызывает функцию "DllUnregisterServer" из библиотек:

  %System%\MegaProtectX.ocx
  %Program Files%\MegaProtect\Megahk.dll
  %Program Files%\MegaProtect\Megab.dll
  

• Удаляет ключ системного реестра:

  [HKLM\Software\MicroSoft\Windows\CurrentVersion\Run]
  "MegaProtect"
  

• Удаляет ветви системного реестра:

  [HKCU\Software\PrivCom]
  [HKLM\Software\Microsoft\Code Store Database\
  Distribution Units\{54E2DF5C-D4F3-439D-AED6-33DD5E4F2925}]
  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\
  Uninstall\MegaProtect]
  

• Загружает из сети Интернет файл по следующей ссылке:

  http://dow***o.kr/download/PVCNinstRBRun.exe

  Загруженный файл сохраняется в системе как

  %Program Files%\PVCNinstRBRun.exe

  и после успешной загрузки запускается на выполнение.

  На момент создания описания файл не загружался.

Далее троянец создает в каталоге %System% сценарий командного интерпретатора "DelUS.bat", запускает его и завершает свою работу — данный сценарий удаляет оригинальный файл троянца и самоуничтожается.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить файл:

   %Program Files%\PVCNinstRBRun.exe

2. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Технические детали

Имеет размер 45056 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\DelUS.bat

Вредоносная активность

Пытается найти файлы на компьютере пользователя по следующим маскам:

• q.*
• *

Прочие действия

Удаляет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\PrivCom ]

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\MegaProtect ]

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{54E2DF5C-D4F3-439D-AED6-33DD5E4F2925} ]

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MegaProtect ]

Удаляет следующие параметры ключей системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ] "MegaProtect" = ""

Описание:
­Используется для автозапуска файлов при загрузке ОС Windows­

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>
• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\DelUS.bat
• ­строка содержит нечитаемые символы­