Trojan.DownLoader4.22948

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'officeactivator' = '"%APPDATA%\VvPIDwWxXZ.exe"'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\activator.exe
%TEMP%\EZ-Activator32.exe

Запускает на исполнение:

<SYSTEM32>\reg.exe QUERY HKLM\SOFTWARE\Microsoft\Office
<SYSTEM32>\find.exe /i "14.0"
<SYSTEM32>\wscript.exe ""%TEMP%\RarSFX0\RunHide.vbs"" EZ-Activator.cmd
<SYSTEM32>\cmd.exe /c """%TEMP%\RarSFX0\EZ-Activator.cmd"" "

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_KMS_Client.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_KMS_Client.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\Other\SharePointDesigner\SPD_ByPass.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_KMS_Client.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_KMS_Client.RAC_Priv.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_MAK.PHN.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_MAK.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_KMS_Client.RAC_Pub.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_MAK.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\Other\SharePointDesigner\SPD_ByPass.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_MAK.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlusAcad_MAK.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_MAK.PHN.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_MAK.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlusAcad_MAK.PHN.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\Other\SharePointDesigner\SPD_ByPass.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\Other\SharePointDesigner\SPD_ByPass.PHN.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlusAcad_MAK.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlusAcad_MAK.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_KMS_Client.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_KMS_Client.RAC_Priv.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_KMS_Client.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_KMS_Client.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_KMS_Client.RAC_Pub.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_MAK.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_MAK.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_MAK.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioStd_MAK.PHN.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_MAK.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_KMS_Client.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_KMS_Client.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPrem_MAK.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_KMS_Client.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_KMS_Client.RAC_Priv.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_MAK.PHN.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_MAK.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_KMS_Client.RAC_Pub.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\VisioPro_MAK.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_MAK.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\Registration32.reg
%TEMP%\RarSFX0\Resources\Licenses\Other\SharePointDesigner\Registration64.reg
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\Registration32.reg
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\Registration32.reg
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\Registration64.reg
%TEMP%\RarSFX0\Resources\Licenses\Other\SharePointDesigner\RegistrationWOW.reg
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\RegistrationWOW.reg
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\Registration64.reg
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\Registration64.reg
%TEMP%\RarSFX0\Resources\Licenses\Other\SharePointDesigner\Registration32.reg
%TEMP%\activator.exe
%TEMP%\RarSFX0\EZ-Activator.cmd
%APPDATA%\VvPIDwWxXZ.exe
%TEMP%\EZ-Activator32.exe
%TEMP%\RarSFX0\Resources\AutoKMS\AutoKMS.exe
%TEMP%\RarSFX0\Resources\TaskKill\TaskKill.exe
%TEMP%\RarSFX0\Resources\LicenseManagement\osppc.dll
%TEMP%\RarSFX0\Resources\MSGBox\Messagebox.exe
%TEMP%\RarSFX0\Resources\StartX\StartX.exe
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_MAK.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_MAK.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_MAK.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_MAK.PHN.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_KMS_Client.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_KMS_Client.RAC_Priv.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_KMS_Client.RAC_Pub.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_KMS_Client.PL.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\ProPlus_KMS_Client.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_KMS_Client.RAC_Pub.xrm-ms
%TEMP%\RarSFX0\Resources\LicenseManagement\ospp.vbs
%TEMP%\RarSFX0\RunHide.vbs
%TEMP%\RarSFX0\Resources\Licenses\VL\ProPlus\RegistrationWOW.reg
%TEMP%\RarSFX0\Resources\Licenses\VL\Visio\RegistrationWOW.reg
%TEMP%\RarSFX0\Resources\LicenseManagement\slerror.xml
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_KMS_Client.PPDLIC.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_KMS_Client.RAC_Priv.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_KMS_Client.OOB.xrm-ms
%TEMP%\RarSFX0\Resources\Licenses\VL\ProjectPro\ProjectPro_KMS_Client.PL.xrm-ms