Trojan-Dropper.Win32.Small.io

Материал из Total Malware Info

Trojan-Dropper.Win32.Small.io

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE EXE-файл). Имеет размер 10416 байт. Упакована FSG. Распакованный размер – около 93 КБ. Написана на C++.

Деструктивная активность

При запуске троянец извлекает из своего тела два файла и сохраняет их в системном каталоге Windows под следующими именами:

%System%\lsd_f3.dll

Данный файл имеет размер 14336 байт и определяется Антивирусом Касперского как Trojan-Downloader.Win32.Small.oo

%System%\iesprt.sys

Данный файл имеет размер 8784 байта и определяется Антивирусом Касперского как Trojan-Downloader.Win32.Small.oo Также троянец создает следующие ключи системного реестра:

[HKLM\SYSTEM\CurrentControlSet\Control]
"Impersonate"="[<rnd>[<username>]"

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\f3dsl]
"DllName"="lsd_f3.dll"
"Startup"="LSD_F3"
"Asynchronous"="1"
"Impersonate"="1"
"MaxWait"="1"

Где <rnd> – двадцать случайных чисел, <username> – имя текущего пользователя. Это приведет к автоматическому запуску функции "LSD_F3" извлеченной библиотеки при каждом следующем старте системы. Далее троянец запускает файл "%System%\iesprt.sys" как системный сервис с именем "iesprt". После этого троянец вызывает функцию "LSD_F3" извлеченной библиотеки и завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия: Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер). Остановить системный сервис с именем "iesprt". Удалить ключи системного реестра (как работать с реестром?):

[HKLM\SYSTEM\CurrentControlSet\Control]
"Impersonate"="[<rnd>[<username>]"

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\f3dsl]
"DllName"="lsd_f3.dll"
"Startup"="LSD_F3"
"Asynchronous"="1"
"Impersonate"="1"
"MaxWait"="1"

Удалить извлеченные троянцем файлы:

%System%\lsd_f3.dll
%System%\iesprt.sys