Trojan-Downloader.Win32 Small.dsr

Троянская программ-загрузчик. Без ведома пользователя скачивает из сети интернет программное обеспечение на компьютер пользователя и запускает его.

Программа является приложением Windows (PE EXE-файл). Имеет размер 7026 байт. Упакована при помощи UPX.

После запуска троянец создает в системе уникальный идентификатор «gagagaradio» для определения своего присутствия в системе.

Если такой идентификатор уже был ранее создан, троянец завершает свою работу. Иначе скачивает из интернета файл по следующей ссылке:

http://81.***.3.175/cntr.php

Скачанный файл сохраняется в системном каталоге Windows с именем svcp.csv:

%System%\svcp.csv

Это текстовый файл, который содержит в зашифрованном виде ссылки на последующие скачиваемые трояном файлы и некоторую служебную информацию.

Троянец скачивает файлы по полученным ссылкам и сохраняет их в системный каталог Windows (%System%), добавляя к их имени расширение exe. После этого троянец запускает на выполнение скачанные файлы.

Кроме того в процессе работы троянец сохраняет свою служебную информацию в следующем файле:

%System%\winsub.xml

Также в процессе работы троянец проверяет наличие связи с IP-адресом 208.36.123.14, производя попытки подключения к этому адресу по 25 порту IP-протокола.