Trojan.Win32.BKClient

Класс Trojan
Платформа Win32
Описание

Technical Details

Троянская программа-обман, предназначенная для похищения паролей. Является приложением Windows (PE-EXE файл). Имеет размер 57821 байт. Упакована c помощью PECompact, распакованный размер — около 73 КБ.

Инсталляция

При запуске троянец извлекает из своего тела следующие файлы:

  • %System%Bk_client.htm — имеет размер 9370 байт;
  • %System%CONNECT.htm — имеет размер 7468 байт;
  • %System%ATOMIC.GIF — имеет размер 10240 байт.

После извлечения файл %System%Bk_client.htm запускается.

Также программа добавляет параметр в ключ автозапуска системного реестра:

[HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
«Bk_client.htm» = «%System%Bk_client.htm»

После этого при каждой последующей загрузке ОС запускается браузер Internet Explorer, в котором открывается файл %System%Bk_client.htm.

Removal instructions

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. Удалить следующие файлы:
    %System%Bk_client.htm
    %System%CONNECT.htm
    %System%ATOMIC.GIF
  2. Удалить параметр в ключе реестра:
    [HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
    «Bk_client.htm» = «%System%Bk_client.htm»
  3. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

      Payload

      Данная программа создана для взлома игры «Бойцовский клуб». Однако, являясь программой-подделкой, троянец осуществляет следующие действия:

      • При запуске отображает на экране следующее окно:

      • При нажатии на кнопку «ПОДКЛЮЧИТЬСЯ…» троянец посылает введенные в полях «Login» и «Password» данные посредством электронной почты на адрес злоумышленника — ****et777@rambler.ru. Для отправки почты используется скрипт:

        http://world-market.com/cgi-bin/mailto.pl

        После отправки сообщения во всплывающем окне браузера загружается страница из файла
        System%CONNECT.htm: