Trojan-Downloader.Win32.Delf.ia

Trojan-Downloader.Win32.Delf.ia («Лаборатория Касперского») также известен как: Trojan.DownLoader.1524 (Doctor Web), Win32/TrojanDownloader.Delf.NAJ (Eset)

Троянская программа, загружающая из интернета файлы без ведома пользователя. Представляет собой Windows PE EXE-файл. Написана на языке Delphi и имеет размер около 21 КБ. Упакована UPX. Размер распакованного файла — около 62 КБ.

После запуска троянец копирует себя в корневой каталог Windows с именем XPsys.exe:

  
  %Windir%\XPsys.exe

Затем регистрирует этот файл в ключе автозапуска системного реестра:

  [HKLM\Software\Microsoft\Windows\
  CurrentVersion\policies\Explorer\Run]
   "XPsys"="%Windir%\XPsys.exe"

При каждой следующей загрузке Windows автоматически запустит файл троянца. Для изменения уровня защиты в Internet Explorer троянец изменяет следующие записи системного реестра:

  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\0]
   "1200"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\0]
   "1201"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\0]
   "1400"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\0]
   "1406"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\0]
   "1C00"=" "
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\1]
   "1200"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\1]
   "1406"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\1]
   "1C00"=" "
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\2]
   "1200"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\2]
   "1201"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\2]
   "1406"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\2]
   "1C00"=" "
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\3]
   "1200"="3"
  
  [HKCU\Software\Microsoft\Windows\
  CurrentVersion\Internet Settings\Zones\3]
   "1C00"=" "
  

Троянская программа имеет функцию загрузки файлов из интернета и запуска их на компьютере пользователя. Файлы загружаются со следующего сервера:

http://24-7-search.com/zad/r**.php?

После загрузки файлы копируются в корневой каталог Windows и запускаются на исполнение.