RSS-каналы
Уровень опасности: 1
Trojan-Downloader.Win32.Agent.ac
| Время детектирования | 27 ноя 2004 09:08 MSK |
| Время выпуска обновления | 27 ноя 2004 09:08 MSK |
| Описание опубликовано | 28 авг 2006 18:54 MSK |
Деструктивная активность
Рекомендации по удалению
Технические детали
Троянская программа-загрузчик, которая без ведома пользователя скачивает из интернета другие вредоносные программы и рекламу.
Программа является приложением Windows (PE EXE-файл). Написана на С++. Размер зараженных файлов может незначительно варьироваться в пределах от 62 до 77 КБ.
Инсталляция
Троянец регистрирует себя в ключе автозапуска системного реестра:
"Upsfctl"="<путь до файла троянца>"
При каждой следующей загрузке Windows автоматически запустит файл троянца.
В различных версиях данного троянца имя параметра ключа может варьироваться.
Деструктивная активность
Троянец считывает конфигурацию для своей работы из файлов preference.dat и index.dat, которые находятся в папке, на которую указывают параметры одного из следующих ключей системного реестра:
[HKLM\Software\Tat]
[HKCU\Software\Tat]
Data=<app>
[HKCU\Software\DelFin\PromulGate]
[HKLM\Software\DelFin\PromulGate]
Install=<app>
Data=<app>
[HKCU\Software\Pcsv]
[HKLM\Software\Pcsv]
Data=<app>
[HKLM\Software\Dvx]
[HKCU\Software\Dvx]
Data=<app>
В процессе своей работы троянец создает следующий ключ реестра, в котором хранит свои настройки:
Троянец проверяет наличие соединения с интернетом, пытаясь установить связь со следующим адресом:
В случае наличия соединения троянец без ведома пользователя скачивает файл по следующей ссылке:
Затем сохраняет скачанный файл во временном каталоге Windows с именем:
После чего запускает его на исполнение.
Троянец сохраняет информацию о результате последней загрузки файла в следующий ключ реестра:
На момент создания описания скачанный файл детектируется Антивирусом Касперского как not-a-virus:AdWare.Win32.DelphinMediaViewer.f.
Рекомендации по удалению
- При помощи «Диспетчера задач» завершить троянский процесс.
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить загруженный файл:
%Temp%\srtin.exe
- Удалить созданные троянцем ключи системного реестра:
[HKLM\Software\Dvx]
[HKLM\Software\Upsf] - Удалить следующий ключ системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Upsfctl"="<путь до файла троянца>" - Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Вредоносная программа, предназначенная для несанкционированной пользователем загрузки и установки на компьютер-жертву новых версий вредоносных программ, установки троянцев или рекламных систем. Загруженные из интернета программы затем либо запускаются на выполнение, либо регистрируются троянцем на автозагрузку в соответствии с возможностями операционной системы.
Информация об именах и расположении загружаемых программ содержится в коде и данных троянца или скачивается троянцем с «управляющего» интернет-ресурса (обычно, с веб-страницы).
Данный тип вредоносных программ в последнее время стал часто использоваться для первоначального заражения посетителей заражённых веб-страниц, содержащих эксплойты.
Trojan-Downloader.
- TrojanDownloader.
Win32. Agent. ac («Лаборатория Касперского») - App:
Downloader-JS (McAfee) - Trojan.
Downloader-1974 (ClamAV) - Trj/Downloader.
OE (Panda) - W32/Agent.
bf (FPROT) - Adware:
Win32/Verticity. B (MS(OneCare)) - Trojan.
DownLoader. 61440 (DrWeb) - Win32/TrojanDownloader.
Agent. AC trojan (Nod32) - Application.
Adware. IEDriver. A (BitDef7) - Trojan.
DL. Agent. FU (VirusBuster) - Win32:
Trojan-gen (AVAST) - Trojan-Dropper.
Agent (Ikarus) - Downloader.
Agent. AJCE (AVG) - TR/Dldr.
Agent. AC (AVIRA) - Adware.
Delfin (NAV) - W32/Agent.
FT (Norman) - Trojan.
DL. Agent. oh (Rising) - Trojan-Downloader.
Win32. Agent. ac [AVP] (FSecure) - TROJ_AGENT.
CF (TrendMicro) - eXact.
BargainBuddy (Sunbelt) - Trojan.
DL. Agent. FU (VirusBusterBeta)
© ЗАО «Лаборатория Касперского», 1997-2012
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей