Trojan-GameThief.Win32.Nilage.a

Технические детали

Программа, относящаяся к семейству троянцев, похищающих пароли пользователя. Является приложением Windows (PE EXE-файл). Имеет размер 52925 байт. Упакована при помощи FSG.

Инсталляция

При запуске троянец копирует свой исполняемый файл в следующий каталог:

%Program Files%\rundll32.exe

Также извлекает из своего тела библиотеку размером 42496 байт:

%System%\ct1dll.dll

С целью автоматического запуска при каждом последующем старте системы троян добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"loadMect1" = "<путь до исполняемого файла троянца>"

Деструктивная активность

После инфицирования компьютера вирус отсылает соответствующее уведомление на электронную почту злоумышленника:

**@webshell.cn

Троянец следит за клавиатурным вводом пользователя в окне с заголовком «Lineage Windows Client» и похищает данные учетной записи — имя пользователя и пароль — к онлайн-игре «Lineage».

Собранную информацию вредоносная программа хранит в файле:

c:\gamect1.txt

Этот файл периодически отправляется на электронный адрес злоумышленника.

Также троянец завершает следующие процессы в системе:

KVMonXP.KXP
KVXP.KXP
EGHOST.EXE
MAILMON.EXE
KAVPFW.EXE
IPARMOR.EXE
RavMon.exe
PasswordGuard.exe

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить троянский процесс.
2. Удалить оригинальный файл трояна (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр из ключа системного реестра:

   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "loadMect1" = "<путь до исполняемого файла троянца>"

4. Удалить файлы:

   %Program Files%\rundll32.exe
   %System32%\ct1dll.dll

5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).