Trojan-Spy.Win32.Stonari

Класс Trojan-Spy
Платформа Win32
Описание

Technical Details

Троянская программа-шпион. Похищает конфиденциальную информацию. Является приложением Windows (PE EXE-файл). Написана на Borland Delphi. Имеет размер 289280 байт. Упакована при помощи Aspack. Размер распакованного файла — около 704 KБ.

Инсталляция

Троянец создает следующие ключи в системном реестре:

[HKCRSoftwareMicrosoftmicroware]
[HKLMSoftwarestonari]

Для автоматического запуска при каждом последующем старте системы вирус добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
[HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]

Также изменяется значение ключа системного реестра:

[HKCRexefileshellopencommand]
"<путь к файлу трояна>%1 %*"

Payload

Программа-шпион выполняет снимки с экрана компьютера и следит за нажатиями на кнопки мыши и клавиатурными операциями.

Собранную информацию троянец записывает в файл %System%setpass.dat и отсылает на электронный почтовый ящик злоумышленника.

Для отправки похищенных сведений используется следующий smtp-сервер:

smtp.163.net

(Троянская программа содержит информацию на китайском языке.)

Removal instructions

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для ее удаления необходимо выполнить следующие действия:

  1. При помощи «Диспетчера задач» завершить троянский процесс.
  2. Удалить ключи реестра:
    [HKCRSoftwareMicrosoftmicroware]
    [HKLMSoftwarestonari]
  3. Удалить ссылки на троянца из следующих ключей системного реестра:
    [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
    [HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices]
  4. Удалить оригинальный файл вируса (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  5. Удалить созданный троянцем файл:
    %System%setpass.dat
  6. Восстановить ключ системного реестра:
    [HKCRexefileshellopencommand]
    "%1 %*"
  7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).