BackDoor.Tdss.10234

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '741b' = '%APPDATA%\m5bw8pr.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Inoyikotadoqev' = 'rundll32.exe "%WINDIR%\bcrsjt.dll",Startup'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\19137336] 'Name' = '%TEMP%\5.tmp'

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nse3.tmp\IR.exe'
'%TEMP%\nse3.tmp\6tbp.exe'
'%APPDATA%\m5bw8pr.exe' -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
'%APPDATA%\m5bw8pr.exe'
'%TEMP%\nse3.tmp\1EuroP.exe'
'%TEMP%\nse3.tmp\converter7.exe'
'%TEMP%\nse3.tmp\3E4U - Bucks.exe'
'%TEMP%\nse3.tmp\2IC.exe'

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
'<SYSTEM32>\net1.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
'<SYSTEM32>\net1.exe' stop "Security Center"
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\cmd.exe' /c "%APPDATA%\xp4xq07vv.bat"
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\sc.exe' config SharedAccess start= DISABLED
'<SYSTEM32>\rundll32.exe' "%WINDIR%\bcrsjt.dll",iep
'<SYSTEM32>\svchost.exe'
'<SYSTEM32>\rundll32.exe' "%WINDIR%\bcrsjt.dll",Startup
'<SYSTEM32>\net.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
'<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
'<SYSTEM32>\net.exe' stop "Security Center"

Внедряет код в

следующие системные процессы:

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = '{1a,37,61,59,23,52,35,0c,7a,5f,20,17,2f,1e,1a,19,0e,2b,01,73,13,37,13,12,14,1a,15,2a}'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = '{1a,37,61,59,23,52,35,0c,7a,5f,20,17,2f,1e,1a,19,0e,2b,01,73,13,37,13,12,14,1a,15,2a}'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'

Изменения в файловой системе:

Создает следующие файлы: