Trojan-Dropper.Win32. Agent.cfrh

Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 24064 байт. Упакована при помощи UPX. Распакованный размер – около 47 КБ. Написана на C++.
name="doc3">

Деструктивная активность

После запуска троянец, в зависимости от текущей версии установленной ОС, выбирает каталог, в который будет извлечен вредоносный файл. Троянец выбирает либо системный, либо каталог хранения временных файлов пользователя:

%System%\
  %Temp%\
  

Далее проверяет наличие библиотеки с именем:

%System%\msncxmjw.dll

Если такая библиотека уже существует – перемещает ее под именем:

%System%\msncxmjw.dll.<rnd>

где rnd – случайное десятичное число. Затем троянец извлекает из своего тела файл, который сохраняет в каталоге хранения временных файлов пользователя под следующим именем:

%Temp%\<rnd2>.system

где rnd2 – случайное десятичное число. После этого вредонос перемещает извлеченный файл в ранее выбранный каталог под именем:

%System%\msncxmjw.dll

Данный файл имеет размер 36865 байт и детектируется антивирусом Касперского как Trojan-GameThief.Win32.OnLineGames.wwcd.

Далее вредонос, при помощи командной строки, запускает вредоносный функционал библиотеки в отдельном потоке на пользовательском рабочем столе - "default" интерактивной оконной станции (window station) "Winsta0". Также троянец ищет окно с именем класса "GxWindowClassD3d" и пытается закрыть его. В завершение троянец создает и запускает в рабочем каталоге файл командного интерпретатора (BAT-файл) со случайным именем:

%WorkDir%\<rnd3>.bat

После выполнения данного файла происходит удаление оригинального файла троянца, а также самого BAT-файла.