«Бестелесный» троянец Kovter в реестре

Компания «Доктор Веб» сообщила о результатах изучения Trojan.Kovter.297 – одного из представителей группы «бестелесных» троянцев. Такие программы не присутствуют на инфицированном компьютере в виде отдельного файла, а работают непосредственно в оперативной памяти, используя для своего хранения различные контейнеры, например, системный реестр Windows.

Trojan.Kovter распространяется с помощью другого троянца – Trojan.MulDrop6.42771, специально созданного для установки на атакуемые компьютеры вредоносных приложений. Такая связка детектируется Антивирусом Dr.Web под именем Trojan.Kovter.297. ПО Trojan.MulDrop6.42771 имеет довольно-таки сложную архитектуру: ее код содержит множество случайных строк и вызовов функций, чтобы усложнить анализ, а основная вредоносная библиотека скрыта в ресурсах Trojan.MulDrop6.42771 в виде картинки. Этот троянец умеет определять, не запущены ли на компьютере виртуальные машины и иные средства отладки, которые обычно используются вирусными аналитиками для исследования образцов вредоносного ПО, и при обнаружении таковых завершает свою работу. Кроме того, он может показывать на экране компьютера произвольные сообщения и отключать функцию контроля учетных записей пользователя Windows (User Accounts Control, UAC).

Trojan.MulDrop6.42771 может обеспечить собственную автозагрузку в системе семью разными способами, а для запуска полезной нагрузки в нем предусмотрено шесть методов: Trojan.MulDrop6.42771 использует тот из них, который указан в его конфигурации. Кроме того, вредоносная программа умеет копировать себя в корневые папки всех подключенных к зараженной машине дисков, создавая там файл автозапуска autorun.inf, т. е. распространяться подобно червю.

Некоторые образцы Trojan.MulDrop6.42771 содержат бестелесного троянца семейства Trojan.Kovter. Обычно он запускается троянцем-носителем, но обладает и собственным механизмом автозапуска. Эта программа создает в системном реестре несколько записей: одна содержит само тело троянца в зашифрованном виде, вторая – скрипт для его расшифровки и загрузки в память компьютера. Имена этих записей включают специальные нечитаемые символы, поэтому стандартная программа regedit не может их показать.

Фактически Trojan.Kovter работает в оперативной памяти инфицированного компьютера, не сохраняя собственную копию на диске в виде отдельного файла, что в определенной степени затрудняет его поиск и удаление. С точки зрения функций Trojan.Kovter можно отнести к категории рекламных троянцев – он незаметно для пользователя запускает в фоновом режиме несколько экземпляров браузера Microsoft Internet Explorer, «посещает» с их помощью указанные злоумышленниками сайты и накручивает количество просмотров рекламы, нажимая на рекламные ссылки и баннеры. Таким образом злоумышленники получают прибыль от организаторов партнерских программ и рекламодателей.

Хотя Trojan.Kovter старается работать на инфицированной машине скрытно, аналитики отмечают, что сканирование компьютера Антивирусом Dr.Web позволяет избавиться от заражения.