Trojan-Downloader.Win32.Agent.csfm

Технические детали

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 53248 байт. Написана на C++.

Деструктивная активность

После запуска троянец выполняет следующие действия:

• создает каталог:

  %Program Files%\sbrowsplus

• Создает ключ системного реестра:

  [HKCU\Software\sbplus]
  "ptn" = "home"
  

• Загружает из сети Интернет файлы по следующим ссылкам:

  http://tota***octor.com/Plus/AFP/sbplusup.exe  
  http://tota***octor.com/Plus/AFP/sbplus.dll
  http://tota***octor.com/Plus/AFP/Ver_sbplus.txt
  

  Загруженные файлы сохраняются в системе соответственно как

  %Program Files%\sbrowsplus\sbplusup.exe  
  %Program Files%\sbrowsplus\sbplus.dll
  %Program Files%\sbrowsplus\sbplussubup.exe
  

  После успешной загрузки файл "sbplusup.exe" запускается на выполнение. На момент создания описания перечисленные ссылки не работали.
• Обращается по следующей ссылке:

  http://www.z***doctor.com/install/install_log.php?mac=
  <физический адрес активного сетевого адаптера>

• Для удаления своего оригинального файла после завершения его работы создает сценарий командного интерпретатора:

  %System%\DelUS.bat

  следующего содержания:

  :Repeat
  del "<полный путь к оригинальному файлу троянца>"
  if exist "<полный путь к оригинальному файлу троянца>" goto Repeat
  del "%System%\DelUS.bat"
  

• Запускает созданный сценарий и завершает свою работу. При этом файл сценария также удаляется.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить ключ системного реестра (как работать с реестром?):

   [HKCU\Software\sbplus]
   "ptn" = "home"
   

2. Удалить загруженные троянцем файлы:

   %Program Files%\sbrowsplus\sbplusup.exe  
   %Program Files%\sbrowsplus\sbplus.dll
   %Program Files%\sbrowsplus\sbplussubup.exe
   

3. Удалить каталог:

   %Program Files%\sbrowsplus

4. Очистить каталог Temporary Internet Files, который может содержать инфицированные файлы (Как удалить инфицированные файлы в папке Temporary Internet Files?).
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).