Trojan-Spy.Win32.Kbrdspy
Материал из Total Malware Info
Trojan-Spy.Win32.Kbrdspy Троянская программа-шпион. Является приложением Windows (PE-EXE файл). Имеет размер 9 728 байт. Упакована при помощи UPX. Размер распакованного файла около 37 КБ. Язык написания C++.
Деструктивная активность
Троянец ищет в системе окно с именем "winsys98". Если такое окно существует, завершается (защита от повторного запуска). Если такого окна не существует, то троянец копирует свое тело в файл:
%System%\sys98.exe
Затем создает файл динамической библиотеки:
%System%\sys98.dll (10 240 байт, детектируется Антивирусом Касперского как Trojan-Spy.Win32.Small.bp)
Из созданного файла "%System%\sys98.dll" троянец вызывает процедуру "CorpseProc" с помощью, которой собирает информацию о нажатии клавиш в системе. Для автоматического запуска при следующем старте системы добавляет ссылку на свой исполняемый файл в ключ автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "(winsys98)" = "sys98.exe"
или используется запись в файле "win.ini":
%WinDir%\win.ini
Деструктивные действия троянец производит через процедуры создаваемого окна с именем "winsys98".
Рекомендации по удалению
- Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Удалить файлы:
- Удалить параметр из ключа автозапуска системного реестра:
- Проверить файл "%WinDir%\win.ini" на наличие строки с именем файла "sys98.exe", если такая существует – удалить строку.
%System%\sys98.exe, %System%\sys98.dll
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] "(winsys98)" = "sys98.exe"
