Trojan.Inject1.33065

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\TCP-IP] 'Start' = '00000002'

Изменяет следующие исполняемые системные файлы:

<SYSTEM32>\libeay32.dll
<SYSTEM32>\sc.exe

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\dllcache\sc.exe файлом <SYSTEM32>\dllcache\sc.exe.new

Заражает следующие исполняемые файлы:

<SYSTEM32>\dllcache\sc.exe.new
<SYSTEM32>\libeay32.dll
<SYSTEM32>\sc.exe

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'

Создает и запускает на исполнение:

'<SYSTEM32>\t.exe' -g "c:\RECYCLER" "c:\RECYCLER\S-1-5-21-3732111762-1530546613-1416731192-501\Dc14\backup"
'<SYSTEM32>\t.exe' -g "c:\RECYCLER" "c:\RECYCLER\S-1-5-21-3732111762-1530546613-1416731192-501\Dc14"
'<SYSTEM32>\dir.exe' "c:\recycler\S-1-5-21-3732111762-1530546613-1416731192-501\Dc14" /G SYSTEM:F /Y
'<SYSTEM32>\dir.exe' "c:\recycler\S-1-5-21-3732111762-1530546613-1416731192-501\Dc14\backup" /G EVERYONE:F /Y
'<SYSTEM32>\dir.exe' "c:\RECYCLER" /G EVERYONE:F /Y
'<SYSTEM32>\filedate.exe' WinMan32.dll 06/09/01 00-00-00
'<SYSTEM32>\t.exe' -g "c:\RECYCLER" "c:\RECYCLER\S-1-5-21-3732111762-1530546613-1416731192-501"
'<SYSTEM32>\t.exe' -g "c:\RECYCLER" "c:\RECYCLER"
'<SYSTEM32>\dir.exe' "c:\recycler\S-1-5-21-1004336348-2111687655-1957994488-1003" /D EVERYONE /Y
'<SYSTEM32>\dir.exe' "c:\recycler\S-1-5-21-1004336348-2111687655-1957994488-1003\info" /G SYSTEM:F /Y
'<SYSTEM32>\aproman.exe' -p
'<SYSTEM32>\pskill.exe' SoundMax2.exe
'<SYSTEM32>\t.exe' -g "c:\RECYCLER" "c:\RECYCLER\S-1-5-21-1004336348-2111687655-1957994488-1003"
'<SYSTEM32>\dir.exe' "c:\recycler\S-1-5-21-3732111762-1530546613-1416731192-501" /D EVERYONE /Y
'<SYSTEM32>\dir.exe' "c:\recycler\S-1-5-21-1004336348-2111687655-1957994488-1003\info\01" /G EVERYONE:F /Y
'<SYSTEM32>\t.exe' -g "c:\RECYCLER" "c:\RECYCLER\S-1-5-21-1004336348-2111687655-1957994488-1003\info\01"
'<SYSTEM32>\MSfw.exe' port add 1999/tcp /name:NETBIOS /scope:*
'<SYSTEM32>\MSfw.exe' port add 1985/tcp /name:NETBIOS /scope:*
'<SYSTEM32>\filedate.exe' MannUCert.key 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' tcpsrv.exe 06/09/01 00-00-00
'<SYSTEM32>\tcpsrv.exe'
'<SYSTEM32>\tcpsrv.exe' /i
'<SYSTEM32>\MSfw.exe' port add 1984/tcp /name:NETBEUI /scope:*
'<SYSTEM32>\MSfw.exe' config notifications disable
'<SYSTEM32>\filedate.exe' pskill.exe 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' sc.exe 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' MSfw.exe 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' aproman.exe 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' libeay32.dll 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' MannUCert.crt 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' ssleay32.dll 06/09/01 00-00-00
'<SYSTEM32>\filedate.exe' ServUPerfCount.dll 06/09/01 00-00-00

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' +h +s +r "c:\RECYCLER"
'<SYSTEM32>\attrib.exe' +h +s +r "c:\recycler\S-1-5-21-3732111762-1530546613-1416731192-501"
'<SYSTEM32>\attrib.exe' +h +s +r "c:\recycler\S-1-5-21-3732111762-1530546613-1416731192-501\Dc14"
'<SYSTEM32>\attrib.exe' +S +H <SYSTEM32>\WinMan32.dll
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\sc.exe
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\pskill.exe
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\MSfw.exe
'<SYSTEM32>\attrib.exe' +h +s +r "c:\recycler\S-1-5-21-1004336348-2111687655-1957994488-1003\info\01"
'<SYSTEM32>\sc.exe' /pid=3028
'<SYSTEM32>\net1.exe' -g "c:\RECYCLER" "c:\RECYCLER\S-1-5-21-1004336348-2111687655-1957994488-1003\info"
'<SYSTEM32>\attrib.exe' +h +s +r "c:\recycler\S-1-5-21-1004336348-2111687655-1957994488-1003\info"
'<SYSTEM32>\attrib.exe' +h +s +r "c:\recycler\S-1-5-21-3732111762-1530546613-1416731192-501\Dc14\backup"
'<SYSTEM32>\attrib.exe' +h +s +r "c:\recycler\S-1-5-21-1004336348-2111687655-1957994488-1003"
'<SYSTEM32>\attrib.exe' /pid=384
'<SYSTEM32>\sc.exe' failure TCP-IPactions= restart/500 reset= 10
'<SYSTEM32>\sc.exe' config lanmanserver depend= TCP-IP
'<SYSTEM32>\sc.exe' config lanmanworkstation depend= TCP-IP
'<SYSTEM32>\sc.exe' config TCP-IP error= ignore
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\auto.cmd" "
'<SYSTEM32>\attrib.exe' "C:\recycler\S-1-5-21-3732111762-1530546613-1416731192-500" +H
'<SYSTEM32>\sc.exe' description TCP-IP "Enables Advanced TCP/IP Services Protocol for NetBIOS Support on this Computer. If this service is disabled, any services that explicitly depend on it will fail to start."
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\ibeay32.dll
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\ServUPerfCount.dll
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\ssleay32.dll
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\MannUCert.crt
'<SYSTEM32>\sc.exe' start TCP-IP
'<SYSTEM32>\net1.exe' start TCP-IP
'<SYSTEM32>\attrib.exe' +R +S +H <SYSTEM32>\MannUCert.key