Trojan.Win32.Agent.dcc

MOD

Ngày phát hiện: 01 – 12 – 2007
Hiểm họa: Trojan

Chi tiết kỹ thuật

Cài đặt

Khi được khởi chạy, Trojan sẽ sao chép chính bản thân file thực thi của nó vào vị trí sau:

%System%\drivers\runtime.sys

Để đảm bảo rằng Trojan sẽ khởi chạy mỗi khi hệ thống được bật, nó tạo một dịch vụ hệ thống với tên gọi “Runtime”, dịch vụ này sẽ chạy file thực thi của Trojan mỗi khi Windows được tải. Khóa registry sau sẽ được tạo:

[HKLM\System\CurrentControlSet\Services\runtime]

Sau khi cài đặt thành công, Trojan sẽ xóa file gốc của chính nó. Trojan này có tải mã độc. Nó là một file Windows EXE có dung lượng 20480 byte.

Hoạt động

Trojan có chứa một driver rootkit, nó sẽ che giấu sự hiện diện của các file Trojan trong ổ cứng và cũng che dấu cả các file sau:

%System%\ntoskrnl.exe
%System%\ntkrnlpa.exe
%System%\ntkrnlmp.exe
%System%\ntkrpamp.exe

Đồng thời, có chũng che giấu cả các hoạt động diễn ra của các file. Trojan khởi chạy một quá trình ẩn dưới tên "iexplore.exe". Nó tiêm nhiễm mã đọc của nó vào trong quá trình này và sau đó download các file từ những địa chỉ sau:

208.66.194.***
66.246.252.***
208.66.195.***
74.53.42.***
74.53.42.***

Các file được download về được lưu tại:

%TEMP%\<rnd>.exe

Với <rnd> là một chuỗi số ngẫu nhiên. Sau khi download thành công, các file này sẽ bắt đầu quá trình hoạt động.

Hướng dẫn gỡ bỏ

Nếu máy tính của bạn không có một chương trình diệt virus tự động cập nhật, hoặc không có một giải pháp diệt virus toàn vẹn, hãy thực hiện theo các hướng dẫn sau để xóa bỏ mã độc khỏi máy tính:

1. Sử dụng Task Manager để dừng quá trình hoạt động của chương trình mã độc

2. Xóa khóa registry hệ thống sau: