Trojan-Dropper.Win32.Small.we

Материал из Total Malware Info

Trojan-Dropper.Win32.Small.we

Троянская программа, устанавливающая другие программы на компьютере пользователя без его ведома. Является приложением Windows (PE EXE-файл). Имеет размер 15872 байта. Написана на C++.

Деструктивная активность

При запуске троянец извлекает из своего тела три файла и сохраняет их в системном каталоге Windows под следующими именами:

%System%\rch32.dll

Данный файл имеет размер 13 байт.

%System%\rch.dll

Данный файл имеет размер 4096 байт.

%System%\rdrlib.dll

Данный файл имеет размер 6656 байт и определяется Антивирусом Касперского как Trojan-Clicker.Win32.Redir.b Также троянец создает следующие ключи системного реестра:

[HKCU\Software\Classes\CLSID\{03B1C4D9-BC71-8916-38AD-9DEA5D213614}\InProcServer32]
"(Default)"="%System%\rch.dll"
"ThreadingModel"="Apartment"

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{03B1C4D9-BC71-8916-38AD-9DEA5D213614}"="OLE Module"

Это приведет к загрузке библиотеки "%System%\rch.dll" в процесс "Explorer" при каждом следующем старте системы. После этого троянец вызывает функцию "load" библиотеки "%System%\rch.dll"и завершает свою работу.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия: Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер). Удалить файлы:

%System%\rch32.dll
%System%\rch.dll
%System%\rdrlib.dll

Удалить ключи системного реестра (как работать с реестром?):

[HKCU\Software\Classes\CLSID\{03B1C4D9-BC71-8916-38AD-9DEA5D213614}\InProcServer32]
"(Default)"="%System%\rch.dll"
"ThreadingModel"="Apartment"

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{03B1C4D9-BC71-8916-38AD-9DEA5D213614}"="OLE Module"