Backdoor.Win32.Hackarmy.w

Материал из Total Malware Info

Backdoor.Win32.Hackarmy.w Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 18976 байт. Упакован при помощи UPX, распакованный размер 50 к.б.

Инсталляция

Копирует свой исполняемый файл как:

%System%\ZoneLockup.exe

Для автоматического запуска при следующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Winsock32driver=ZoneLockup.exe

Деструктивная активность

Управление бэкдором производится по протоколу IRC. При запуске бэкдор устанавливает соединение с управляющим IRC сервером:

osama.hackarmy.tk

на 6667 TCP порт. Входит в канал с именем “##osama##” под ником, который представляет собой случайное шестнадцатиричное число. После этого бэкдор переходит в режим ожидания команд от злоумышленника, которые могут быть одними из следующих: info – Вывести информацию о системе(версию Windows, время работы Windows, частоту цп, имя текущего пользователя, сетевое имя компьютера).

execute – выполнить произвольную команду.

delete – удалить файл.

listprocesses – вывести список запущенных процессов.

killprocess – завершить процесс.

socks4 – запустить SOCKS4 сервер на указанном порте

Download – загрузить файл по указанной ссылке в папку %Temp% и запустить его.

syn – произвести SYN Flood атаку на указанный адрес в сети.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи <Диспетчера задач> завершить вредоносный процесс(win32server.exe).
2. Удалить оригинальный файл бэкдора (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр в ключе системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Winsock32driver=ZoneLockup.exe

4. Удалить файл:

%System%\ZoneLockup.exe