Trojan.Win32.Dialer.eh
Материал из Total Malware Info
Trojan.Win32.Dialer.eh Троянская программа, которая производит вызовы на платные номера без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 9 950 байт.
Инсталляция
Извлекает из своего тела файл:
%System%\saristar.dll
и регистрирует его в системе. Данный компонент устанавливает себя как Browser Helper Object.
Деструктивная активность
Скачивает файл по следующей ссылке:
http://217*****6.1/bck.html?v=1&id=<случайное число>
и сохраняет его с именем sarb.exe в своей рабочей папке после чего запускает. На момент написания описания ссылка не работала. Скачивает файл по следующей ссылке:
http://217*****6.1/del/cmb
и сохраняет его как:
c:\dtemp2.exe
после чего запукает. На момент написания описания ссылка не работала. Открывает ссылку в браузере Internet Explorer:
http://217.****6.16/md.php?data=<случайное число>
Так же троянец содержит скрытую функцию дозвона на иностранные номера, который производится без ведома пользователя.
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- При помощи ("Диспетчера задач") завершить троянский процесс.
- Удалить оригинальный файл трояна (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
- Отменить регистрацию библиотеки выполнив команду:
- Удалить файлы:
regsvr32 /u %System%\saristar.dll
%System%\saristar.dll %System%\sarb.exe c:\dtemp2.exe
