Описание работы вируса Trojan.Win32. Fregee.x

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE DLL-файл). Имеет размер 22016 байт. Написана на C++.

Инсталляция

Троянец копирует свое тело в системный каталог Windows под именем "lkmj.bdo":

%System%\lkmj.bdo

Для автоматического запуска при следующем старте системы троянец добавляет запись в ключ автозапуска системного реестра:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="Explorer.exe rundll32.exe lkmj.bdo igtvkg"

Описание работы вируса Trojan.Win32. Sasfis.aeih

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Программа является приложением Windows (PE EXE-файл). Имеет размер 18944 байта. Написана на C++.

Деструктивная активность

После запуска троянец расшифровывает и извлекает из своего тела во временный каталог текущего пользователя файл:

%Temp%<rnd1>.tmp

Где <rnd1> - случайный набор цифр и букв латинского алфавита. Данный файл имеет размер 22016 байт и детектируется Антивирусом Касперского как Trojan.Win32.Fregee.x
Затем троянец подгружает в свое адресное пространство извлеченный файл и производит запуск содержащегося в нем вредоносного кода.

Описание работы вируса Trojan-Downloader.BAT. Agent.gy

Троянская программа. Является пакетным файлом командного интерпретатора (BAT-файл). Имеет размер 1729 байт.

Деструктивная активность

При запуске создает каталог с именем:

%WinDir%\ehome

Далее троянец загружает файл по следующим ссылкам:

http://yici.g***60.com/images/uploadfile/uploadfile/swf33/
2008-3/200899172011617.swf
http://yici.g***60.com/images/uploadfile/uploadfile/swf33/
2008-3/200899172011618.swf
http://yici.g***60.com/images/uploadfile/uploadfile/swf33/
2008-3/200899172011619.swf
http://yici.g***60.com/images/uploadfile/uploadfile/swf33/
2008-3/200899172011620.swf
http://yici.g***60.com/images/uploadfile/uploadfile/swf33/
2008-3/200899172011621.swf
http://yici.g***60.com/images/uploadfile/uploadfile/swf33/
2008-3/200899172011622.swf

На момент создания описания ссылки не работали. Скачанные файлы сохраняются под следующими именами соответственно:

%WinDir%\ehome\cacls.vbs
%WinDir%\ehome\cacls.exe 
%WinDir%\ehome\cacls.bat
%WinDir%\ehome\cacls1.exe
%WinDir%\ehome\cacls1.bat
%WinDir%\ehome\ca.bat

После этого троянец запускает файл «%WinDir%\ehome\cacls.vbs», удаляет свой исполняемый файл и завершает свою работу.