Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл).
Троянская программа, которая устанавливает и запускает другое программное обеспечение на зараженном компьютере без ведома пользователя. Является приложением Windows (PE-EXE файл). Имеет размер 38056 байт. Написана на C++.
После запуска троянец извлекает из своего тела вредоносный драйвер, который сохраняет под именами:
%Temp%\cdfssДанный файл имеет размер 30560 байт и детектируется антивирусом Касперского как Rootkit.Win32.Agent.bkwm. После этого троянец устанавливает в системе вредоносный драйвер под видом служб с именами "cdfss" и "wcscd". При этом в системном реестре создаются следующие ключи:
%System%\drivers\wcscd.sys
[HKLM\System\CurrentControlSet\Services\cdfss]Затем используя функцию "NtLoadDriver()" загружает драйвер "cdfss" на выполнение.
"Type"=dword:00000001
"Start"=dword:00000001
"ImagePath"="%Temp%\cdfss"
"ProcessId"=dword:000008cc
[HKLM\System\CurrentControlSet\Services\cdfss\Enum]
"0"="Root\\LEGACY_CDFSS\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
[HKLM\System\CurrentControlSet\Services\wcscd]
"Type"=dword:00000001
"Start"=dword:00000001
"ImagePath"="%System%\drivers\wcscd.sys"
[HKLM\System\CurrentControlSet\Services\wcscd\Enum]
"0"="Root\\LEGACY_WCSCD\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
"INITSTARTFAILED"=dword:00000001
Собираем и анализируем опыт профессионалов ИБ