Троянская программа, нарушающая работоспособность компьютера. Программа
является приложением Windows (PEEXE-файл). Имеет размер 419920 байт.
Упакована при помощи UPX. Распакованный размер – около 603 КБ. Написана
на C++. Инсталляция После запуска троянец копирует свое тело в системный каталог Windows под
именем "csrcs.exe": %System%\csrcs.exe Далее файлу присваиваются атрибуты "скрытый" и "только чтение". Также троянец копирует свое тело во все доступные на запись сетевые
ресурсы под случайно сгенерированным именем. Далее для автоматического запуска при каждом следующем старте системы
троянец создает ссылки на свой исполняемый файл в ключах автозапуска
системного реестра: [HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"csrcs" = "%System%\csrcs.exe" [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell" = "Explorer.exe csrcs.exe" Деструктивная активность Троянец изменяет значения параметров следующих ключей системного
реестра: [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden" = "2"
"SuperHidden" = "0"
"ShowSuperHidden" = "0" [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue" = "1" Таким образом, троянец отключает отображение скрытых файлов и папок. Загруженные файлы сохраняются в кеш Internet Explorer. Также троянец содержит встроенного IRC бота, который позволяет
злоумышленнику получить полный доступ к компьютеру пользователя. По завершению своей работы троянец создает файл командного
интерпретатора "suicide.bat" во временном каталоге текущего пользователя
Windows: %Temp%\suicide.bat В данный файл троянец записывает код для удаления оригинального тела
троянца и самого файла командного интерпретатора. Далее файл "%Temp%\suicide.bat" запускается на выполнение
Но может быть и в других местах. Кстати после перезагрузки рекомендую
повторить процедуру, так как могут быть варианты разные. И на последок поменять с Explorer.execsrcs.exe на Explorer.exe
Данный пост — одно из немногих исключений, когда читаешь с удовольствием и что-то для себя выносишь. Спасибо Вам. Добавлю в избранноеhttp://voronezh.recikl.ru/ - . :)
