Trojan-Dropper.Win32.OnlineService
Материал из Total Malware Info
Trojan-Dropper.Win32.OnlineService
Троянская программа, относящаяся к семейству троянов, устанавливающих вредоносное программное обеспечение без ведома пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 25 852 байта. Язык написания С++.
Деструктивная активность
После запуска троянская программа извлекает из своего тела файл "svchost.exe" (12 288 байт, детектируется Антивирусом Касперского как Backdoor.Win32.Tonerok.b) и помещает его в каталог Windows:
%WinDir%\svchost.exe
Затем добавляет ссылку на извлеченный файл в ключ автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "Online Service"="%WinDir\svchost.exe%"
После этого извлекает из своего тела файл "wingua.exe" (4 608 байт, детектируется Антивирусом Касперского как Trojan.Win32.KillProc.b) в системный каталог Windows:
%System%\wingua.exe
Извлекает из своего тела файл "msto32.dll" (3 072 байта, детектируется Антивирусом Касперского как Backdoor.Win32.Tonerok.b) и помещает его в каталог Windows:
%WinDir%\msto32.dll
Создает в каталоге Windows файл "sysini.ini" содержащий в себе строку:
***Computer was successfully infected***
Затем запускает "svchost.exe" и завершает свой процесс
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер), если троянец не удалит его сам.
- Удалить извлеченные троянцем файлы:
- Удалить ключ автозапуска системного реестра (как работать с реестром?):
%WinDir%\svchost.exe %WinDir%\sysini.ini %WinDir%\msto32.dll %System%\wingua.exe
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "Online Service"="%WinDir\svchost.exe%"
