Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя.
Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 22688 байт.
name="doc3">
Деструктивная активность
После запуска троянец создает в каталоге хранения временных файлов пользователя BAT - файл:
%Temp%\~AR.bat
где rnd - случайная цифровая последовательность
при помощи которого, производит удаление из системного каталога файла:
%System%\verclsid.exe
Затем копирует свой исполняемый файл под следующим именем:
%WinDir%\Fonts\MSar12D40003exe.ttf
Устанавливает файлу атрибуты "Скрытый" и "Системный ". Для контроля уникальности своего процесса в системе троянец создает уникальный идентификатор с именем "12D4-B0CF". Также пытается найти и завершить процесс с именем "zhengtu.dat". Далее вредонос извлекает из своего тела в системный каталог библиотеку с именем:
%System%\ss12D40003dll.dll
Данный файл имеет размер 456192 байта. Устанавливает файлу атрибуты "Скрытый", "Системный ", "Архивный". Для автоматического запуска библиотеки при следующем старте Windows, троянец добавляет ссылку в ключ автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows]"AppInit_DLLs"="ss12D40003dll.dll"
В завершении, троянец создает в каталоге хранения временных файлов пользователя еще один BAT - файл:
%Temp%\~AR.bat
после запуска которого происходит самоудаление оригинального файла троянца.