Trojan-Downloader.Win32.Small.ddy

20.11.2006

Trojan-Downloader.Win32.Small.ddy

Троянская программа небольшого размера (1609 байта, сжат FSG). В случае запуска скрытно выполняет следующие операции:
1. Запаскает процесс svchost.exe, передавая ему в качестве параметра полное имя своего исполняемого файла;
2. Внедряет в запущенный процесс svchost.exe свой код и модифицирует контекст потока этого процесса таким образом, чтобы этот код получил управление;
3. Завершает работу своего процесса;

В результате происходит выполнение троянского кода, но с точки зрения утилит диагностики и ряда Firewall работает легитимный процесс svchost.exe. Троянский код в процессе svchost.exe удаляет с диска исполняемый файл троянской программы (это возможно, так как она уже завершила свою работу на этот момент), пытается осуществить обмен с сайтом alert48.info и загрузить с этого сайта исполняемую программу loaderc.exe. На момент обследования сайт alert48.info был недоступен.