Trojan-Downloader.Win32.IMCdown

Technické údaje

Tento trojan stahuje soubory přes internet bez vědomí nebo souhlasu uživatele.

Jedná se o soubor Windows PE EXE. Je napsán v jazyce Borland C ++. Má následující součásti:

• CLIENT.EXE – 57 344 bajtů
• SERVER.EXE – 65 024 bajtů
• X.EXE – 4 096 bajtů

Užitné zatížení

Program Trojan (X.EXE) se pokouší vytvořit připojení TCP na číslo 116.116.199.216:62324 (216.216.216.216:55512). Není-li spojení provedeno během 30 sekund, Trojan ukončí svůj proces. Pokud je spojení vytvořeno, vytvoří Trojan v aktuálním adresáři soubor s názvem "anyfile.exe", zapíše stažené data do tohoto souboru a spustí soubor k provedení. Trojan pak přestane běžet.

Trojský server využívá server ZFTP na portu 12345 ke stahování dat. Při spuštění komponenty klienta (CLIENT.EXE) odešle požadavek na širokopásmové připojení k ověření portu 12345. Pokud je adresa počítače, ve které je nainstalována součást serveru (SERVER.EXE), zadána jako parametr příkazového řádku, bude k tomuto stroji vytvořen na určeném portu. Soubory budou potom staženy ze serveru.

Pokyny k odstranění

1. Použijte Správce úloh k ukončení procesu trojského koně.
2. Odstraňte původní soubory trojských karet (umístění bude záviset na tom, jak program původně pronikl do poškozeného počítače).
3. Aktualizujte antivirové databáze a proveďte úplné skenování počítače ( stáhněte zkušební verzi aplikace Kaspersky Anti-Virus).