Trojan-GameThief.Win32.Magania.cpct
Технические детали
Червь
с троянским функционалом, создающий свои копии на съемных дисках.
Является приложением Windows (PE-EXE файл). Имеет размер 109632 байт.
Упакован неизвестным упаковщиком, распакованный размер 200 к.б.
Инсталляция
Копирует свой исполняемый файл как:
%Temp%\xvassdf.exe
Для автоматического запуска при каждом следующем старте системы червь
добавляет ссылку на свой исполняемый файл в ключ автозапуска системного
реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
54dfsger=%System%\xvassdf.exe
Извлекает из своего исполняемого файла следующий файл:
%System%\4tddfwq0.dll
данный файл имеет размер 194092 байта и детектируется Антивирусом Касперского как Trojan-GameThief.Win32.Magania.cpbl
Распространение
Копирует свой исполняемый файл в корень каждого раздела:
<X>:\r1bd.exe
где, X – буква раздела.
Так же вместе со своим исполняемым файлом червь помещает в корень диска сопровождающий файл:
<X>:\autorun.inf который запускает исполняемый файл
червя, каждый раз, когда пользователь открывает зараженный раздел при
помощи программы ”Проводник”.
Деструктивная активность
Подгружает
извлеченную библиотеку во все запущенные в системе процессы.
Перехватывает ввод от клавиатуры и мыши в следующих процессах:
iexplore.exe
Ragexe.exe
YahooWidgetEngine.exe
Ypagerj.exe
pol.exe
coc.exe
Анализирует траффик идущий к следующим адресам:
211.13.235.228
211.13.235.227
211.13.235.226
211.13.235.229
Таким способом червь пытается похитить информацию о учетных записях игроков популярных онлайн игр и интернет пейджеров.
Собранные данные отправляются на сайты злоумышленникам в параметрах HTTP запросов к следующим адресам:
http://ga****i.com/r1b/rod/lin.asp
http://ga****i.com/r1b/ttr/lin.asp
http://ga****i.com/r1b/ryh/lin.asp
http://ga****i.com/r1b/fsy/lin.asp
Червь изменяет значения следующих параметров ключей реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue" = "0"
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced]
"Hidden" = "2"
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced]
"ShowSuperHidden" = "0"
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\
Pocilies\Explorer]
"NoDriveTypeAutoRun" = "0x91"
Пытается завершить следующие процессы:
LIVESRV.EXE
VCRMON.EXE
Update.exe
CCSVCHST.EXE
ALUSCHEDULERSVC.EXE
luall.exe
ASHDISP.EXE
avast.setup
setup.ovr
EKRN.EXE
updater.dll
eguiEpfw.dll
eguiEmon.dll
ekrnEpfw.dll
ekrnEmon.dll
AVP.EXE
prupdate.ppl
AYAGENT.AYE
AYUpdate.aye
UFSEAGNT.EXE
SfFnUp.exe
UfUpdUi.exe
AVGNT.EXE
preupd.exe
update.exe
VSTSKMGR.EXE
vsupdate.dll
mcupdate.exe
AVGRSX.EXE
avgupd.exe
avgupd.exe
Рекомендации по удалению
Если
ваш компьютер не был защищен антивирусом и оказался заражен данной
вредоносной программой, то для её удаления необходимо выполнить
следующие действия:
- Удалить файл:
%Temp%\xvassdf.exe
- Перезагрузить компьютер
- Удалить оригинальный файл червя (его расположение на
зараженном компьютере зависит от способа, которым программа попала на
компьютер).
- Удалить параметры в ключах системного реестра:
[HKCU\Software\Microsoft\Windows\
CurrentVersion\Run]
54dfsger=%System%\xvassdf.exe
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue" = "0"
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced]
"Hidden" = "2"
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced]
"ShowSuperHidden" = "0"
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\
Pocilies\Explorer]
"NoDriveTypeAutoRun" = "0x91"
- Удалить файлы:
%System%\4tddfwq0.dll
- Удалить файлы со всех дисков:
<X>:\r1bd.exe
<X>:\autorun.inf
где, X – буква диска.
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
| 
