Trojan.Win32.Zum

Класс Trojan
Платформа Win32
Описание

Technical Details

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 21504 байта. Написана на Visual Basic.

Инсталляция

При запуске троянец копирует свой исполняемый файл в корневой каталог Windows под следующим именем:

%WinDir%Systray32.exe

Для автоматического запуска при следующем старте системы троянец добавляет ссылку на свою копию в ключ автозапуска системного реестра:

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
«Systray32.exe»=»%WinDir%Systray32.exe»

Payload

После запуска троянец выполняет следующие действия:

  • отображает на экране сообщение:

  • После нажатия кнопки «OK» и паузы в 28 секунд записывает в файл
    %WinDir%win.ini

    секцию

    [SciCalc]
    layout=0
    [?= ]
    load= 
    
  • Отображает окно следующего вида:

    При наведении курсора мыши на область данного окна, троянец открывает в установленном по умолчанию браузере сайт:

    http://www.fu***000.de

Removal instructions

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

  1. При помощи Диспетчера задач троянский процесс.
  2. Удалить ключ системного реестра (как работать с реестром?):
    [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
    "systray32" = "%WinDir%systray32.exe"
    
  3. Удалить файл:
    %WinDir%systray32.exe
  4. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
  5. Удалить созданную троянцем секцию в файле:
    %WinDir%win.ini
  6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).