Trojan-Dropper.Win32.Agent.cdqo

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 20480 байт. Упакована неизвестным упаковщиком. Распакованный размер около Написана на С++.

Деструктивная активность

После запуска троянец извлекает из своего тела файл во временный каталог текущего пользователя Windows с именем "<rnd>.tmp" (где <rnd> - набор случайных цифр и больших латинских букв, например, "D" или "A1") :

%Temp%\<rnd>.tmp

Данный файл имеет размер 20480 байт и детектируется антивирусом Касперского как Trojan.Win32.Agent.eefd.

Троянец создает копию извлеченного файла в системном каталоге Windows с именем "wcpm.eso":

%System%\wcpm.eso

Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на вредоносный файл в ключ автозапуска системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell" = "Explorer.exe rundll32.exe wcpm.eso kpcovkl"

После этого троянец создает процесс с именем "svchost.exe":

svchost.exe

В данный процесс внедряет вредоносный код. При наличии на компьютере пользователя пакета приложений "Microsoft Office" вредоносный код, внедренный в процесс, создает макрос, запускающий вредоносный файл, извлеченный во временный каталог текущего пользователя Windows с именем "<rnd>.tmp".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %Temp%\.tmp
   %System%\wcpm.eso
   

3. Восстановить значение параметра ключа системного реестра на следующее (системного реестра):

   [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   "Shell" = "Explorer.exe"
   

4. При помощи Диспетчера задач завершить вредоносный процесс, запущенный от имени текущего пользователя Windows: svchost.exe
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Технические детали

Имеет размер 20480 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\1.tmp (­детектируется антивирусом Касперского как­ Trojan.Win32.Agent.eefd)
• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\wcpm.eso (­детектируется антивирусом Касперского как­ Trojan.Win32.Agent.eefd)