Trojan.JS.ExitW.a

Материал из Total Malware Info

Trojan.JS.ExitW.a Троянская программа. Является сценарием JavaScript.

Инсталляция

Распространяется встраиванием в WEB-страницы.

Деструктивная активность

Троянец устанавливает значение параметра реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"="1",

таким образом, запрещая редактирование реестра. Прописывает в ключе автозапуска завершение работы Windows:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Rundll"="%WinDir%\rundll32.exe user,ExitWindows"

Изменяет иконку для файлов JavaScript:

[HKCR\JSFile\DefaultIcon]
"default" ="%WinDir%\SYSTEM\shell32.dll,-154"

Меняет заголовок браузера Internet Explorer:

[HKLM\Software\Microsoft\Windows\Internet Explorer\Main]
"WindowTitle"="Orixuss"

Также устанавливает следующие значение параметра реестра:

[HKCR\JSFile]
"default"= "System File"

Затем троянец удаляет из текущего каталога файл:

%CurrentDir%\kernel.sys.js

и запускает команду:

rundll32.exe user,ExitWindows.

Рекомендации по удалению

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить параметры реестра:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"="1",

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Rundll"="%WinDir%\rundll32.exe user,ExitWindows"

3. Изменить значения параметров реестра:

[HKCR\JSFile\DefaultIcon]
"default" ="%SystemRoot%\System32\WScript.exe,3"

[HKCR\JSFile]
"default"= " JScript Script File"