Trojan-Dropper.Win32.Flystud.a
Материал из Total Malware Info
Содержание |
Trojan-Dropper.Win32.Flystud.a
Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 820706 байт. Написана на C++.
Инсталляция
После запуска троянец копирует свое тело в системный каталог Windows под именем "wupdate.exe":
%System%\wupdate.exe
Для автоматического запуска при каждом следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "Windows Update"="%System%\wupdate.exe"
Деструктивная активность
Троянец создает во временном каталоге текущего пользователя директорию с именем "E_30003":
%Temp%\E_30003
В данную директорию троянец извлекает файлы:
%Temp%\E_30003\dp1.fne — 114688 байт %Temp%\E_30003\HtmlView.fne — 217088 байт %Temp%\E_30003\internet.fne — 184320 байт %Temp%\E_30003\krnln.fnr — 1007616 байт
Данные файлы являются динамически подключаемыми библиотеками. Кроме того, троянец помещает в системный каталог Windows файл "wintask.exe":
%System%\wintask.exe
Данный файл имеет размер 24576 байт и детектируется Антивирусом Касперского как Trojan-Clicker.Win32.VB.t. После извлечения данный файл запускается на выполнение.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы, созданные троянцем:
- Удалить ключ системного реестра:
%System%\wupdate.exe %Temp%\E_30003\dp1.fne %Temp%\E_30003\HtmlView.fne %Temp%\E_30003\internet.fne %Temp%\E_30003\krnln.fnr %System%\wintask.exe
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "Windows Update"="%System%\wupdate.exe"
