Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя.
Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 24064 байт. Упакована при помощи UPX. Распакованный размер - около 47 КБ. Написана на C++.name="doc3">
Деструктивная активность
После запуска троянец, в зависимости от текущей версии установленной ОС, выбирает каталог, в который будет извлечен вредоносный файл. Троянец выбирает либо системный, либо каталог хранения временных файлов пользователя:
%System%\%Temp%\Далее проверяет наличие библиотеки с именем:
%System%\msncxmjw.dllЕсли такая библиотека уже существует - перемещает ее под именем:
%System%\msncxmjw.dll.где rnd - случайное десятичное число. Затем троянец извлекает из своего тела файл, который сохраняет в каталоге хранения временных файлов пользователя под следующим именем:
%Temp%\где rnd2 - случайное десятичное число. После этого вредонос перемещает извлеченный файл в ранее выбранный каталог под именем:.system
%System%\msncxmjw.dllДанный файл имеет размер 36865 байт и детектируется антивирусом Касперского как Trojan-GameThief.Win32.OnLineGames.wwcd.
Далее вредонос, при помощи командной строки, запускает вредоносный функционал библиотеки в отдельном потоке на пользовательском рабочем столе - "default" интерактивной оконной станции (window station) "Winsta0". Также троянец ищет окно с именем класса "GxWindowClassD3d" и пытается закрыть его. В завершение троянец создает и запускает в рабочем каталоге файл командного интерпретатора (BAT-файл) со случайным именем:
%WorkDir%\После выполнения данного файла происходит удаление оригинального файла троянца, а также самого BAT-файла..bat