Trojan zapewnia zdalnemu złośliwemu użytkownikowi dostęp do komputera ofiary. Ma postać pliku PE EXE. Rozmiar komponentów backdoora może się różnić (od 8 KB do 80 KB).

Instalacja

Po uruchomieniu backdoor kopiuje swój plik wykonywalny do foldera WindowsSystem:

%System%ssclie.exe

Następnie backdoor wypakowuje ze swojego kodu plik stu.dll:

%System%stu.dll

Plik DLL jest następnie ładowany do przestrzeni adresowej svchost.exe a oryginalny plik Trojana jest usuwany.

Trojan tworzy w rejestrze systemowym następujący klucz zapewniający mu uruchamianie wraz z każdym startem systemu Windows:

[HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
"system" = "%System%ssclie.exe"

Funkcje szkodnika

Backdoor powstał przy użyciu generatora o nazwie editor.exe (rozmiar pliku wykonywalnego: 24 576 bajtów).

W oknie głównym generatora użytkownik może wprowadzić adres IP. Wygenerowany szkodnik będzie oczekiwał na zdalne polecenia napływające z podanego adresu IP na określonym porcie. Użytkownik może także zdefiniować klucze rejestru oraz ich wartości, które będą wykorzystywane przez wygenerowanego szkodnika.

Po kliknięciu przycisku w oknie generatora, program skopiuje plik server.exe do swojego bieżącego foldera z nazwą setup.exe i zapisze do niego w zaszyfrowanej postaci dane zdefiniowane przez użytkownika.

Po uruchomieniu wygenerowanego pliku na komputerze ofiary, szkodnik zostanie zainstalowany i podejmie próbę połączenia się z adresem zdefiniowanym w generatorze.

Backdoor jest zarządzany za pośrednictwem specjalnego programu. Jego interfejs wygląda następująco:

Zdalny szkodliwy użytkownik może wykorzystać backdoora do:

• uzyskania peÅ‚nego dostÄ™pu do plików zapisanych na dyskach zainfekowanego komputera
• pobierania plików na zainfekowanym komputerze
• uruchamiania programów na zainfekowanym komputerze
• przeglÄ…dania listy aktywnych procesów
• wykonywania dowolnych poleceÅ„ w obrÄ™bie zainfekowanego komputera

Usuwanie szkodnika z zainfekowanego systemu

W celu usunięcia szkodnika z zainfekowanego systemu należy wykonać następujące operacje:

1. Przy pomocy Menedżera zadań zakończyć proces trojana
2. Usunąć z dysku następujące pliki:

   %System%ssclie.exe
   %System%stu.dll
   

3. Usunąć następujące wartości rejestru:

   [HKLMSoftwareMicrosoftWindowsCurrentVersionRun]
   "system" = "%System%ssclie.exe"

4. Uaktualnić sygnatury zarożeń i wykonać pełne skanowanie komputera (w tym celu można skorzystać z darmowej wersji testowej oprogramowania Kaspersky Anti-Virus).