Деструктивная активность
После запуска троянец выполняет следующие действия:
- извлекает из своего тела в системный каталог Windows файл с именем "mskpwvmx.dll":
Данный файл имеет размер 36865 байт и детектируется Антивирусом Касперского как Trojan-GameThief.Win32.OnLineGames.xhur. Данная библиотека предназначена для похищения паролей от пользовательских учетных записей игры "World of Warcraft".
Код: Выделить всё
%System%\mskpwvmx.dll
- Запускает системную утилиту "Rundll32.exe" со следующими параметрами:
%System%\mskpwvmx.dll,w
Таким образом, из извлеченной библиотеки вызывается функция с именем "w". - Находит в системе окно с именем класса "GxWindowClassD3d" и закрывает его, посылая сообщение WM_CLOSE.
- Создает в своем рабочем каталоге сценарий командного интерпретатора, запускает его и завершает свою работу — данный сценарий удаляет оригинальный файл троянца и самоуничтожается.