Trojan-PSW.Win32.LdPinch.bky

22.03.2007

Trojan-PSW.Win32.LdPinch.bky

Троянская программа, размер 33666 байта, сжат UPX. Копирайты файла и его описание похожи на копирайты и описание системных объектов. В случае запуска скрытно выполняет следующие операции:

1. Копирует свой исполняемый файл в корень диска под именем _5.exe, после копирования файл _5.exe удаляется
2. Копирует свой исполняемый файл в системную папку под именем WINDOWS\system32\svchоst.exe. После копирования файл system32\svchоst.exe запускается. Пятая буква в имени файла – русская, по начертанию идентичкая английской «о» - это применяется в качестве простейшей меры защиты файла от  поиска и удаления по имени
3. Процесс system32\svchоst.exe создает в корне диска свою копию под именем _t.exe и уничтожает ее после копирования. После этого он предает в Интернет информацию о ПК пользователя, загружает и запускает троянскую программу Backdoor.Win32.SdBot.aqp, регистрируется в автозапуске с использованием экзотического ключа автозапуска (Policies\Explorer\Run). Далее svchоst.exe выполняет характерные для Pinch действия – собирает логины и пароли, и передает их по методу POST на сайт авторов.