Trojan-PSW.Win32.Hukle.j

Материал из Total Malware Info

Trojan-PSW.Win32.Hukle.j Троянская программа, относящаяся к семейству троянов, похищающих пароли пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 50 364 байт. Упакована с помощью UPX, распакованный размер ~76 к.б.

Инсталляция

Копирует свой исполняемый файл в папку %System% с именем оригинального файла. Извлекает из своего тела динамическую библиотеку, которую сохраняет в папку %System% с именем оригинального файла и расширением .dll. Извлеченная библиотека имеет размер 19 664 байта, определяется антивирусом Касперского как Trojan-PSW.Win32.Hukle.ao. Для автоматического запуска при следующем старте системы троян добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Windows Media SP.57=%System%\<имя файла трояна>

Деструктивная активность

Завершает процессы:

Iparmor
netbargp
passwordguard
Eghost
Iparmor

Троянская библиотека устанавливает перехватчик сообщений Windows окнам программ, с помощью которого подгружается во все процессы. Библиотека ищет в системе окно с заголовком “MU Auto Update”, после чего получает текст введенный в полях ввода, расположенных в этом окне. Собранные данные троян сохраняет в файле %System%\temp.dll и периодически отсылает на электронную почту злоумышленнику.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ("Диспетчера задач") завершить троянский процесс.
2. Удалить оригинальный файл трояна (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр в ключе реестра (как работать с реестром?):

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Windows Media SP.57=%System%\<имя файла трояна>

4. Удалить файлы трояна из папки %System%
5. Удалить файл:

%System%\temp.dll