Trojan.Win32.Liewar.ao

Технические детали

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 20480 байт. Упакована при помощи UPX. Распакованный размер — около 48 КБ. Написана на С++.

Деструктивная активность

После запуска троянец создает следующие ключи автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Internet Acceleration Utility"="iau.exe"
"Internet Connection Wizard"="stisvsq.exe"
"Games Acceleration"="svshost.exe"
"Internet Mail and News"="msqdevl.exe"
"Microsoft Management Console"="lssas.exe"
"Multimedia extensions"="mservice.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Internet Acceleration Utility"="iau.exe"
"Internet Connection Wizard"="stisvsq.exe"
"Games Acceleration"="svshost.exe"
"Internet Mail and News"="msqdevl.exe"
"Microsoft Management Console"="lssas.exe"
"Multimedia extensions"="mservice.exe"

%WinDir%\msiau.dll
%WinDir%\msras.exe
%WinDir%\uvchost.dll
%WinDir%\winlogon.dll
%WinDir%\csrss.dll
%WinDir%\taskmgr.dll

%WinDir%\iau.exe
%WinDir%\stisvsq.exe
%WinDir%\svshost.exe
%WinDir%\msqdevl.exe
%WinDir%\lssas.exe
%WinDir%\mservice.exe

Указанные библиотеки по всей видимости создаются другой вредоносной программой. После переименования исполняемые файлы запускаются на выполнение. Кроме того, меняет стартовую страницу браузера Internet Explorer на пустую.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить файлы:

   %WinDir%\msiau.dll
   %WinDir%\msras.exe
   %WinDir%\uvchost.dll
   %WinDir%\winlogon.dll
   %WinDir%\csrss.dll
   %WinDir%\taskmgr.dll
   
   
   
   %WinDir%\iau.exe
   %WinDir%\stisvsq.exe
   %WinDir%\svshost.exe
   %WinDir%\msqdevl.exe
   %WinDir%\lssas.exe
   %WinDir%\mservice.exe

3. Удалить ключи системного реестра:

   [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   "Microsoft Internet Acceleration Utility"="iau.exe"
   "Internet Connection Wizard"="stisvsq.exe"
   "Games Acceleration"="svshost.exe"
   "Internet Mail and News"="msqdevl.exe"
   "Microsoft Management Console"="lssas.exe"
   "Multimedia extensions"="mservice.exe"
   
   
   
   [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   "Microsoft Internet Acceleration Utility"="iau.exe"
   "Internet Connection Wizard"="stisvsq.exe"
   "Games Acceleration"="svshost.exe"
   "Internet Mail and News"="msqdevl.exe"
   "Microsoft Management Console"="lssas.exe"
   "Multimedia extensions"="mservice.exe"

4. Восстановить стартовую страницу браузера Internet Explorer.
5. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).