Trojan-PSW.Win32.Gip.111
Материал из Total Malware Info
Trojan-PSW.Win32.Gip.111 Троянская программа, относящаяся к семейству троянов, похищающих пароли пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 45 056 байт. Упакована при помощи AsPack. Размер распакованного файла окло 89 КБ. Язык написания С++.
Инсталляция
Копирует свое тело под заданным при генерации именем в каталог Windows. Добавляет ссылку на свой исполняемый файл в один из ключей автозапуска системного реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] "Welcome"="путь_к_троянцу" [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices] "Sevice"="путь_к_троянцу" (именно Sevice) [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "config"="путь_к_троянцу"
Название параметра может меняться.
Деструктивная активность
Для введения пользователя в заблуждение исполняемый файл троянца имеет иконку стандартного JPEG-файла. При запуске троянец создает ключ реестра:
[HKCU\Software\BNL\ISoaQ] "LastVersionLaunched"="ISoaQ 0.72"
При каждом следующем запуске троянец проверяет эти значения. Создает ряд ключей реестра, к которым потом не обращается:
[HKCU\Software\Microsoft\Windows] "Pin" "File1" "File2" "File3" "Count" "Date" "LastError"
Меняет ключ системного реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Network] "DisablePwdCaching"="0"
Что включает кэширование паролей в браузере. Затем собирает скэшированые пароли. Кроме того, собирает список контактов системы ICQ, похищает пароли и номера, используемые в зараженной системе. Собирает сведения о системе. Такие как имя компьютера, имя текущего пользователя, используемая локаль, тип процессора, количество процессоров, количество памяти, количество свободной памяти, размер диска, количество свободного места на диске. Формирует сообщение со всеми этими данными и отправляет злоумышленнику, используя WinSocket.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файл троянца из каталога Windows.
- Удалить ключи системного реестра (как работать с реестром?):
[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] "Welcome" [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices] "Sevice" [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "config" [HKCU\Software\Microsoft\Windows] "Pin" "File1" "File2" "File3" "Count" "Date" "LastError" [HKCU\Software\BNL\ISoaQ]
