Trojan-Spy.Win32.GWGhost.c
Материал из Total Malware Info
Trojan-Spy.Win32.GWGhost.c Троянская программа предназначенная для отправки на электронный адрес злоумышленника информации, вводимой пользователем с клавиатуры, содержимого буфера обмена. Программа является приложением Windows (PE EXE-файл). Имеет размер 73 472 байт. Не упакована Язык написания Delphi.
Инсталляция
При запуске троянец извлекает из своего тела библиотеку DLL и сохраняет как:
%System%\DXInput.dll (20 480 байт, детектируется Антивирусом Касперского как Trojan-Spy.Win32.GWGhost.c)
Копирует свое тело в системный каталог:
%System%\SCANREGW.EXE
Для автоматического запуска при следующем старте системы троянец добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM\software\Microsoft\Windows\CurrentVersion\Run] "(ScanRegistry)" ="%system%\SCANREGW.EXE /autorun"
Деструктивная активность
Загружает "%System%\DXInput.dll" как DLL и регистрирует ее для перехвата сообщений от клавиатуры. Перехваченные сообщения от клавиатуры помещаются в буфер длиной 65 536 байт. При подключении зараженного компьютера к Интернету, троянец отправляет всю похищенную информацию на электронный адрес злоумышленника. И также сохраняет похищенную информацию в файлы:
c:\recycled\index.dat c:\recycler\index.dat
Рекомендации по удалению
- Загрузиться в безопасный режим
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
- Удалить значение ключа реестра:
%System%\SCANREGW.EXE %System%\DXInput.dll c:\recycled\index.dat c:\recycler\index.dat
[HKLM\software\Microsoft\Windows\CurrentVersion\Run] "(ScanRegistry)" ="%system%\SCANREGW.EXE /autorun"
