Trojan-Downloader. Win32.IstBar.ay

Троянская программа, которая скачивает файлы без ведома пользователя. Является библиотекой Windows (PE DLL-файл). Имеет размер 17920 байт. Упакована с помощью UPX, распакованный размер — 40960 байт.

Инсталляция

При регистрации библиотека устанавливает себя в систему как Browser Helper Object, при этом создаются следующие ключи реестра:

  [HKCR\SearchWord.ExcelExport.1]
  
  [HKCR\SearchWord.ExcelExport]
  
  [HKCR\CLSID\{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}]
  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}]
  
  [HKCR\TypeLib\{FB19BC08-E664-462C-909B-3E9C3F4FF90E}]
  
  [HKCR\Interface\{212552CF-D5B0-49F0-961D-95CA146CDE03}]
  

Также троянец создает ключ реестра, в котором хранит свои настройки:

[HKCU\Software\Microsoft\IEAK]

Деструктивная активность

Троянская программа скачивает файлы во временную папку с одного из следующих адресов:

http://**clickaire.com/
http://**clickaire.com/
http://**-host.com/

После успешной загрузки вирус запускает файлы на исполнение.

Другие названия

Trojan-Downloader.Win32.IstBar.ay («Лаборатория Касперского») также известен как: TrojanDownloader.Win32.IstBar.ay («Лаборатория Касперского»), Trojan.Digits (Symantec), Trojan.Isbar (Doctor Web), TrojanDownloader:Win32/Istbar.E (RAV), TROJ_ISTBAR.M (Trend Micro), TR/Dldr.IstBar.AY (H+BEDV), Win32:Trojan-gen. (ALWIL), Downloader.Istbar.BV (Grisoft), Trojan.Downloader.ISTBar.BE (SOFTWIN), Spyware/ISTbar (Panda), Win32/TrojanDownloader.IstBar.AY (Eset)