Trojan.Win32.Zum

Technical Details

Троянская программа, выполняющая деструктивные действия на компьютере пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 21504 байта. Написана на Visual Basic.

Инсталляция

При запуске троянец копирует свой исполняемый файл в корневой каталог Windows под следующим именем:

%WinDir%Systray32.exe

Для автоматического запуска при следующем старте системы троянец добавляет ссылку на свою копию в ключ автозапуска системного реестра:

Payload

После запуска троянец выполняет следующие действия:

• отображает на экране сообщение:

  

• После нажатия кнопки “OK” и паузы в 28 секунд записывает в файл

  %WinDir%win.ini

  секцию

  [SciCalc]
  layout=0
  [?= ]
  load= 
  

• Отображает окно следующего вида:

  

  При наведении курсора мыши на область данного окна, троянец открывает в установленном по умолчанию браузере сайт:

  http://www.fu***000.de

Removal instructions

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи Диспетчера задач троянский процесс.
2. Удалить ключ системного реестра (как работать с реестром?):

   [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
   "systray32" = "%WinDir%systray32.exe"
   

3. Удалить файл:

   %WinDir%systray32.exe

4. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
5. Удалить созданную троянцем секцию в файле:

   %WinDir%win.ini

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).