Packed.Win32.Klone.af

Материал из Total Malware Info

Packed.Win32.Klone.af Вредоносная программа выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 26624 байт. Упакован при помощи UPX, распакованный размер 90 к.б.

Инсталляция

Копирует свой исполняемый файл как:

%WinDir%\msccrt.exe

Для автоматического запуска при следующем старте системы троян добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RUN]
"msccrt"=%WinDir%\msccrt.exe

Извлекает из своего тела файл:

%System%\msccrt.dll

Данный файл имеет размер 10752 байт и определяется Антивирусом Касперского как Trojan-PSW.Win32.OnLineGames.tp

Деструктивная активность

Пытается закрывать окна, которые имеют следующие имена классов:

avp.product_Notxfication
AVP.AlertDialoG

Программа пытается похитить информацию о учетной записи пользователя MMORPG игры Perfect World, для этого троян следит за клавиатурным вводом пользователя в следующих процессах:

ELEMENTCLIENT.EXE
gameclient.exe

А так же читает настройки сервера из файлов конфигурации игры и при помощи установленных перехватчиков на API функции для работы с сетью фильрует трафик между приложением игры и сервером извлекая из него информацию о авторизации. Собранная информация отправляется на сайт злоумышленников в параметрах запроса следующего URL:

http://fy2.s*****j.com/jjfy/lin.asp

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи <Диспетчера задач> завершить вредоносный процесс.
2. Удалить оригинальный файл трояна (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр в ключе системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RUN]
"msccrt"=%WinDir%\msccrt.exe

4. Удалить файлы:

%WinDir%\msccrt.exe
%System%\msccrt.dll