Trojan-Downloader.Win32 Small.bxc

После запуска троянец пытается завершить процессы, содержащие в своих именах следующие строки:

После этого с интервалом в 1 секунду троянец проверяет IP-адрес машины, на которой запущен; проверка производится до тех пор, пока не будет установлено, что IP-адрес отличен от 127.0.0.1.

Затем программа загружает несколько файлов из интернета и запускает их на исполнение:

• файл с URL http://core.****he-evolution.com/x.exe сохраняется в корневом каталоге Windows с именем winl.exe:
  %Windir%\winl.exe
  Скаченный файл детектируется Антивирусом Касперского как Backdoor.Win32.Agent.vq
• файл с URL http://core.****he-evolution.com/r4.exe сохраняется в корневом каталоге Windows с именем sstray.exe:
  %Windir%\sstray.exe
  На момент создания описания данная ссылка не работала.

У злоумышленников существует возможность заменить загружаемые файлы другими вредоносными программами путём замены объектов, на которые указывают ссылки.