Trojan-Dropper.Win32.Small.fe

Материал из Total Malware Info

Trojan-Dropper.Win32.Small.fe

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE EXE-файл). Имеет размер 10784 байта. Упакована UPX. Распакованный размер – около 15 КБ. Написана на C++.

Деструктивная активность

При запуске троянец извлекает из своего тела файл и сохраняет его в системном каталоге Windows под именем:

%System%\child.dll

Данный файл имеет размер 8192 байта и определяется Антивирусом Касперского как Backdoor.Win32.Thunk.f Также троянец создает следующие ключи системного реестра:

[HKCU\Software\Classes\CLSID\{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}\InProcServer32]
"(Default)"="%System%\child.dll"
"ThreadingModel"="Apartment"

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}"="OLE Automation Module"

Это приведет к загрузке извлеченной библиотеки в процесс "explorer.exe" при каждом следующем старте системы. Если по каким либо причинам троянец не сможет создать файл "%System%\child.dll" он сохраняет библиотеку под именем:

%AppData%\Microsoft\child.dll

Ключи системного реестра изменяются соответственно. После этого троянец вызывает функцию "load" извлеченной библиотеки и завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия: Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер). Удалить файлы если такие существуют:

%System%\child.dll
%AppData%\Microsoft\child.dll

Удалить ключи системного реестра (как работать с реестром?):

[HKCU\Software\Classes\CLSID\{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}\InProcServer32]
"(Default)"="%System%\child.dll"
"ThreadingModel"="Apartment"

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}"="OLE Automation Module"