Trojan-Ransom.Win32.DigiPog.l
Технические детали
Троянская
программа, которая блокирует работу компьютера с целью получить выкуп
за восстановление работы. Программа является приложением Windows (PE
EXE-файл). Имеет размер 104127 байт. Упакована неизвестным упаковщиком.
Распакованный размер – около 670 КБ. Написана на С++.
Инсталляция
Далее для автоматического запуска при следующем старте системы
троянец создает ссылку на свой исполняемый файл в ключе автозапуска
системного реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Windows Update Service"="<Путь к оригинальному файлу троянца>"
Деструктивная активность
После
запуска троянец показывает лицензионное соглашение, в котором
пользователя предупреждают, что программа платная и через некоторое
время компьютер будет заблокирован, до тех пор, пока не будет
произведена оплата:
Если пользователь нажмет на кнопку "Не принимаю", то троянец завершает свою работу.
В случае согласия троянец соединяется с сервером злоумышленника для оповещения о заражении:
94.****.148
Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем:
Global\xusrwgkgcycm
Извлекает из своего тела динамическую библиотеку DLL во временный
каталог текущего пользователя Windows под именем "usrcycm.dll":
%Temp%\usrcycm.dll
Данный файл имеет размер 57334 байта и детектируется Антивирусом Касперского, как Trojan-Ransom.Win32.Agent.jt.
Далее библиотека подгружается во все запущенные процессы в системе.
При помощи данной библиотеки троянец регенерирует ключ автозапуска,
блокирует доступ к диспетчеру задач Windows, следит за наличием своего
процесса в системе.
Троянская программа выводит на передний план свое окно, которое перекрывает все запущенные пользователем окна:
Рекомендации по удалению
Если
ваш компьютер не был защищен антивирусом и оказался заражен данной
вредоносной программой, то для её удаления необходимо выполнить
следующие действия:
- Воспользоваться сервисом деактивации вымогателей-блокеров:
http://support.kaspersky.ru/viruses/deblocker
- Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).
Источник
| 
