Trojan-Downloader.Win32. Geral.dut

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является динамической библиотекой Windows (PE DLL-файл).

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является динамической библиотекой Windows (PE DLL-файл). Имеет размер 40960 байт. Написана на C++.


Деструктивная активность

Троянская библиотека экспортирует функцию "testall", вызов которой приводит к выполнению следующих действий:

  • если в системе найден процесс с именем "CCENTER.EXE", то бинарный файл драйвера
    %System%\drivers\AsyncMac.sys
    подменяется файлом, извлеченным из тела троянца. Извлеченный файл имеет размер 2688 байт, детектируется Антивирусом Касперского как "Trojan-Downloader.Win32.Geral.bnb". Кроме того, останавливаются службы:
    RavCCenter
    RfwTask
    RfwService
    RsScanSrv
    RavTray
    RsRavMon
    RavTask
    RfwCCenter
  • Если в системе найден процесс с именем "ekrn.exe", то троянец останавливает службу "ekrn", после чего запускает системный командный интерпретатор "cmd.exe" с параметрами:
    /c sc delete ekrn
    что приводит к удалению службы "ekrn".
  • Если в системе запущен процесс "MPSVC.exe", троянец останавливает службу "MPSVCService".
  • Если в системе запущен процесс с именем "mcshield.exe", троянец останавливает службы:
    McAfeeEngineService
    McAfeeFramework
    McShield
    McTaskManager
    mfevtp
  • Если в системе найден процесс "ccSvcHst.exe", троянец останавливает службы:
    Norton AntiVirus
    .norton2009Reset
  • Если в системе найден процесс с именем "avp.exe", троянец останавливает службу "avp", после чего запускает системный командный интерпретатор "cmd.exe" со следующими параметрами:
    /c sc config avp start= disabled
    /c taskkill.exe /im avp.exe /f
    Таким образом, отменяется автоматический запуск службы "avp" и завершается процесс "avp.exe". Также троянец подменяет бинарный файл драйвера
    %System%\drivers\aec.SYS
    файлом, извлеченным из собственного тела. Извлеченный файл имеет размер 2048 байт, детектируется Антивирусом Касперского как "Trojan-Downloader.Win32.Geral.bnb".
  • Если в системе найден процесс "bdagent.exe", останавливаются службы:
    XCOMM
    LIVESRV
    scan
    VSSERV
  • Если в системе запущен процесс с именем "KAVStart.exe", троянец запускает системный командный интерпретатор "cmd.exe" с параметрами:
    /c sc config KwatchSvc start= disabled
    /c sc config kaccore start= disabled
    /c sc config KISSvc start= disabled
    /c taskkill.exe /im KwatchSvc.exe /f
    Это отменяет автоматический запуск служб:
    KwatchSvc
    kaccore
    KISSvc
    а также завершает процесс "KwatchSvc.exe".
  • Из системной памяти выгружаются следующие процессы:
    avp.exe
    safeboxTray.exe
    360Safebox.exe
    360tray.exe
    antiarp.exe
    ekrn.exe
    RsAgent.exe
    mfeann.exe
    egui.exe
    RavMon.exe
    RavMonD.exe
    RavTask.exe
    CCenter.exe
    RavStub.exe
    RsTray.exe
    ScanFrm.exe
    Rav.exe
    AgentSvr.exe
    QQDoctor.exe
    McProxy.exe
    mcshield.exe
    rsnetsvr.exe
    naPrdMgr.exe
    MpfSrv.exe
    MPSVC.exe
    MPSVC1.exe
    KISSvc.exe
    KPfwSvc.exe
    kmailmon.exe
    KavStart.exe
    engineserver.exe
    KPFW32.exe
    KVSrvXP.exe
    ccSetMgr.exe
    ccEvtMgr.exe
    defwatch.exe
    rtvscan.exe
    ccapp.exe
    vptray.exe
    mcupdmgr.exe
    mfevtps.exe
    mcsysmon.exe
    mcmscsvc.exe
    mcnasvc.exe
    mcagent.exe
    vstskmgr.exe
    FrameworkService.exe
    mcshell.exe
    mcinsupd.exe
    bdagent.exe
    livesrv.exe
    vsserv.exe
    xcommsvr.exe
    ccSvcHst.exe
    SHSTAT.exe
    McTray.exe
    udaterui.exe
    Uplive.exe
    KWatch.exe
    QQDoctorRtp.exe
    DrUpdate.exe
    rfwsrv.exe
    RegGuide.exe
    MPSVC2.exe
    MPMon.exe
    LiveUpdate360.exe
    rssafety.exe
    egui.exe
    KSWebShield.exe
    360delays.exe
  • Создаются ключи системного реестра:
    [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution
    Options\<Application name>]
    "<Application name>" = "svchost.exe"
    Всего создается 70 ключей. Подстрока <Application name> принимает значения из приведенного ранее списка завершаемых процессов. Таким образом, блокируется запуск перечисленных процессов.
  • Удаляются все ключи из следующей ветви системного реестра:
    [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]