Backdoor.Win32.Levelone.a

Материал из Total Malware Info

Backdoor.Win32.Levelone.a Вредоносная программа, предоставляющая злоумышленнику удаленный доступ к зараженной машине. Является приложением Windows (PE-EXE файл). Имеет размер 10 535 байт.

Инсталляция

Копирует свой исполняемый файл как:

%System%\dllvector.exe

Для автоматического запуска при следующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
“LoadVectorDll”=”%System%\dllvector.exe AvRun”

Деструктивная активность

После установки бэкдор уведомляет злоумышленника о том что установка прошла успешно, отсылая ему сообщение на ICQ открывая следующий URL:

wwp.icq.com/scripts/WWPMsg.dll?from=%s&fromemail=Level l v1.0&subject=Hi I'm online&body=<…>&to=Level_l@level_l.com&send=Send+Message

В тексте сообщения содержится информация: Level L Server v1.2 online ip [<адрес жертвы>], port [<номер порта по которому слушает IRC сервер>], password [<пароль для подключения>] , victim [<имя пользователя>], WinOs [<версия ОС>]

Бэкдор запускает IRC сервер на компьютере пользователя на случайном TCP порте и ждет входящих соединений. Подключившись к серверу злоумышленник может посылать команды бэкдору и выполнять на компьютере жертвы следующие действия: Скачивать и закачивать файлы на компьютер жертвы Запускать исполняемые файлы Выполнять любые команды Добавлять скачанные файлы в ключи автозапуска системного реестра

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ("Диспетчера задач") завершить процесс бэкдора.
2. Удалить оригинальный файл бэкдора (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр в ключе реестра (как работать с реестром?):

[HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
“LoadVectorDll”=”%System%\dllvector.exe AvRun”

4. Удалить файл:

%System%\dllvector.exe