Trojan.Win32.Scar.cmdh

Технические детали
Деструктивная активность
Рекомендации по удалению

Технические детали

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE-EXE файл). Имеет размер 26624 байта. Написана на C++.

Деструктивная активность

После запуска троянец извлекает из своего тела файл, который сохраняется в системе под следующим именем:

%Temp%\ntload.dll 

(17920 байт; детектируется Антивирусом Касперского как "Trojan-Spy.Win32.Mailspy.d")

Далее троянец запускает системную утилиту "RUNDLL32.EXE" со следующими параметрами: r

undll32.exe %Temp%\ntload.dll,_IWMPEvents@0

Таким образом, из извлеченной библиотеки вызывается функция с именем "_IWMPEvents@0".

Для удаления своего оригинального файла после завершения его работы троянец запускает системный командный интерпретатор "CMD.EXE" с параметрами:

/c del <полный путь к оригинальному файлу троянца> >> NUL

После этого троянец завершает свою работу.

Извлеченная библиотека предназначена для перехвата исходящего Интернет-трафика с целью похищения паролей к учетным записям электронной почты следующих почтовых серверов:

aol
msn
gmail
yahoo.com
hotmail.com

Собранные данные отправляются в виде HTTP-запросов на сайт злоумышленника:

http://you***estinf.com/mail/s.php

После запуска исполняемого кода библиотеки, в системе создаются следующие ее копии:

%USERPROFILE%\ntl.dll
%USERPROFILE%\Start Menu\Programs\Startup\scand.dll

Для автоматического запуска исполняемого кода библиотеки создается ключ системного реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"note" = "rundll32.exe"%USERPROFILE%\ntl.dll,_IWMPEvents@0""

Также создается ярлык:

%USERPROFILE%\Start Menu\Programs\Startup\scand.lnk

указывающий на объект:

%System%\rundll32.exe " %USERPROFILE%\Start 
Menu\Programs\Startup\scand.dll,_IWMPEvents@0"

Действия по обеспечению автозапуска троянца выполняются в отдельном потоке в бесконечном цикле каждые 5 минут.

Кроме того, удаляются все файлы в каталоге:

%USERPROFILE%\Cookies

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Перезагрузить компьютер в «безопасном режиме» (в самом начале загрузки нажать и удерживать клавишу «F8», затем выбрать пункт «Safe Mode» в меню загрузки Windows).
2. Удалить ключ системного реестра (как работать с реестром?):

   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "note" = "rundll32.exe"%USERPROFILE%\ntl.dll,_IWMPEvents@0""
   

3. Удалить файлы:

   %Temp%\ntload.dll 
   %USERPROFILE%\ntl.dll
   %USERPROFILE%\Start Menu\Programs\Startup\scand.dll
   %USERPROFILE%\Start Menu\Programs\Startup\scand.lnk
   

4. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Резюме

• Trojan-Dropper. Скрытно устанавливает в систему другие вредоносные программы

Технические детали

Имеет размер 26624 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\ntload.dll
• Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\STARTM~1\Programs\Startup\scand.dll

Вредоносная активность

Создает следующие файлы:

• Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\ntl.dll

После чего обеспечивается Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузка установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Run ] "note" = "rundll32.exe Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\ntl.dll,_IWMPEvents@0"

Пытается найти файлы на компьютере пользователя по следующим маскам:

• *

Прочие действия

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ] "note" = ""

Описание:
­Используется для автозапуска файлов при загрузке ОС Windows­

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>
• Каталог текущего пользователя (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>)%UserDir%\Cookies\index.dat