Celem tego trojana jest instalowanie i uruchamianie innych szkodliwych programów na zaatakowanej maszynie bez wiedzy czy zgody użytkownika. Ma postać pliku PE EXE o rozmiarze 10784 bajtów (kompresja UPX, rozmiar po rozpakowaniu - około 22KB). Powstał w języku programowania C++.

Funkcje szkodnika

Podczas uruchamiania trojan wydobywa następujący plik ze swojego ciała i zapisuje go do foldera systemu Windows:

%System%child.dll

Plik ma rozmiar 8192 bajtów. Szkodnik jest wykrywany przez oprogramowanie Kaspersky Anti-Virus jako Backdoor.Win32.Thunk.f.

Trojan tworzy również następujące klucze rejestru systemowego:

[HKCUSoftwareClassesCLSID{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}InProcServer32]
"(Default)" = "%System%child.dll"
"ThreadingModel" = "Apartment"
[HKLMSoftwareMicrosoftWindowsCurrentVersionExplorerSharedTaskScheduler]
"{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}" = "OLE Automation Module"

Jeżeli z jakiegoś powodu trojan nie będzie mógł stworzyć %System%child.dll, zapisze szkodliwy plik w następujący sposób:

%AppData%Microsoftchild.dll

Utworzone przez trojana Klucze rejestru systemowego będą odpowiadały tej lokalizacji.

Następnie trojan wywołuje funkcję "ładuj" tego pliku i kończy swoje działanie.

Usuwanie szkodnika z zainfekowanego systemu

Jeśli oprogramowanie antywirusowe zainstalowane na twoim komputerze nie jest aktualne lub nie korzystasz z żadnego rozwiązania antywirusowego, w celu usunięcia szkodnika z zainfekowanego systemu wykonaj następujące operacje:

1. Usuń oryginalny plik trojana (lokalizacja będzie zależała od sposobu przeniknięcia programu do zaatakowanego komputera).
2. Jeżeli na komputerze znajdują się poniższe pliki, usuń je:

   %System%child.dll
   %AppData%Microsoftchild.dll
   

3. Usuń następujące klucze rejestru systemowego:

   [HKCUSoftwareClassesCLSID{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}InProcServer32]
   "(Default)" = "%System%child.dll"
   "ThreadingModel" = "Apartment"
   [HKLMSoftwareMicrosoftWindowsCurrentVersionExplorerSharedTaskScheduler]
   "{3F143C3A-1457-6CCA-03A7-7AA23B61E40F}" = "OLE Automation Module"

4. Uaktualnij sygnatury zagrożeń i wykonaj pełne skanowanie komputera (w tym celu można pobrać darmową wersję testową oprogramowania Kaspersky Anti-Virus).

TrojanDropper.Win32.Small.fe (Kaspersky Lab), DDoS-Decill (McAfee),   Trojan dropper (Symantec),   Trojan.Child.24576 (Doctor Web),   TrojanDownloader:Win32/Small (RAV),   TROJ_SMALL.A (Trend Micro),   Win32:Trojan-gen. (ALWIL),   Downloader.Small.4.T (Grisoft),   Trojan.Downloader.Ges.A (SOFTWIN),   Trj/Johi.D (Panda)