Описание работы вируса Trojan-Dropper.Win32.Agent.dnvu

Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 38056 байт. Написана на C++.

Деструктивная активность

После запуска троянец извлекает из своего тела вредоносный драйвер, который сохраняет под именами:

%Temp%\cdfss
%System%\drivers\wcscd.sys

Данный файл имеет размер 30560 байт и детектируется антивирусом Касперского как Rootkit.Win32.Agent.bkwm. После этого троянец устанавливает в системе вредоносный драйвер под видом служб с именами "cdfss" и "wcscd". При этом в системном реестре создаются следующие ключи:

[HKLM\System\CurrentControlSet\Services\cdfss]
"Type"=dword:00000001
"Start"=dword:00000001
"ImagePath"="%Temp%\cdfss"
"ProcessId"=dword:000008cc

[HKLM\System\CurrentControlSet\Services\cdfss\Enum]
"0"="Root\\LEGACY_CDFSS\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

[HKLM\System\CurrentControlSet\Services\wcscd]
"Type"=dword:00000001
"Start"=dword:00000001
"ImagePath"="%System%\drivers\wcscd.sys"

[HKLM\System\CurrentControlSet\Services\wcscd\Enum]
"0"="Root\\LEGACY_WCSCD\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
"INITSTARTFAILED"=dword:00000001

Затем используя функцию "NtLoadDriver()" загружает драйвер "cdfss" на выполнение.