Trojan-PSW.Win32.Nilage.a

Материал из Total Malware Info

Trojan-PSW.Win32.Nilage.a Троянская программа, относящаяся к семейству троянов, похищающих пароли пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 52 925 байт. Упакована при помощи FSG, распакованный размер ~143 кб.

Содержание 1 Инсталляция 2 Деструктивная активность 3 При заражении компьютера отсылает уведомление на электронную почту: 4 Завершает процессы: 5 Рекомендации по удалению

Инсталляция

Копирует свой исполняемый файл как:

C:\Program Files\rundll32.exe

Извлекает из своего файла библиотеку:

%System32%\ct1dll.dll - 42 496 байта

Для автоматического запуска при следующем старте системы троян добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
loadMect1=<путь и имя исполняемого файла трояна>

Деструктивная активность

При заражении компьютера отсылает уведомление на электронную почту:

tw@webshell.cn

Завершает процессы:

KVMonXP.KXP
KVXP.KXP
EGHOST.EXE
MAILMON.EXE
KAVPFW.EXE
IPARMOR.EXE
RavMon.exe
PasswordGuard.exe

Следит за клавиатурным вводом пользователя в окне с заголовком “Lineage Windows Client” и похищает имя пользователя и пароль на учетную запись к онлайн игре Lineage. Собранные данные хранит в файле:

c:\gamect1.txt

и периодически отсылает на электронную почту злоумышленнику

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ("Диспетчера задач") завершить троянский процесс.
2. Удалить оригинальный файл трояна (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
3. Удалить параметр в ключе реестра (как работать с реестром?):

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
loadMect1=<путь и имя исполняемого файла трояна>

4. Удалить файлы:

C:\Program Files\rundll32.exe
%System32%\ct1dll.dll