Trojan.Inject1.7074

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Gerri' = 'cmd.exe /c %APPDATA%\Gerri\Gerri.Gerri'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Brig' = 'cmd.exe /c %WINDIR%\Brig.Brig'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Pip' = '%APPDATA%\Pip\Pip.exe'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '%APPDATA%\Microsoft\Windows\Mose.scr'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Rafferty Filberto Kipper' = '%WINDIR%\Rafferty Filberto Kipper.exe'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\Microsoft\Windows\Mose.scr
%APPDATA%\Microsoft\Windows\Mose.scr /s

Запускает на исполнение:

<SYSTEM32>\attrib.exe +R +H +S "%APPDATA%\Pip\Pip.exe"
<SYSTEM32>\attrib.exe -R -H -S "%APPDATA%\Pip\Pip.exe"
<SYSTEM32>\reg.exe ADD "HKCU\software\microsoft\windows\currentversion\run" /v "Pip" /t REG_SZ /d "%APPDATA%\Pip\Pip.exe" /f
<SYSTEM32>\attrib.exe +R +H +S "%APPDATA%\Pip"
<SYSTEM32>\attrib.exe +R +H +S "%WINDIR%\Grover Kenon"
<SYSTEM32>\attrib.exe +R +H +S "%WINDIR%\Grover Kenon\Grover Kenon.exe"
<SYSTEM32>\attrib.exe -R -H -S "%APPDATA%\Pip"
<SYSTEM32>\schtasks.exe /create /F /RL HIGHEST /tn "Grover Kenon" /tr "<Полный путь к вирусу>" /sc onlogon
<SYSTEM32>\attrib.exe -R -H -S "%WINDIR%\Brig.Brig"
<SYSTEM32>\reg.exe ADD "HKCU\software\microsoft\windows\currentversion\run" /v "Gerri" /t REG_SZ /d "cmd.exe /c %APPDATA%\Gerri\Gerri.Gerri" /f
<SYSTEM32>\reg.exe ADD "HKLM\software\microsoft\windows\currentversion\run" /v "Brig" /t REG_SZ /d "cmd.exe /c %WINDIR%\Brig.Brig" /f
<SYSTEM32>\attrib.exe +R +H +S "%WINDIR%\Brig.Brig"
<SYSTEM32>\attrib.exe -R -H -S "%APPDATA%\Gerri\Gerri.Gerri"
<SYSTEM32>\attrib.exe -R -H -S "%APPDATA%\Gerri"
<SYSTEM32>\attrib.exe +R +H +S "%APPDATA%\Gerri"
<SYSTEM32>\attrib.exe +R +H +S "%APPDATA%\Gerri\Gerri.Gerri"
<SYSTEM32>\attrib.exe -R -H -S "%WINDIR%\Rafferty Filberto Kipper.exe"
<SYSTEM32>\reg.exe ADD "HKCU\Control Panel\Desktop" /v ScreenSaveTimeOut /t REG_SZ /d "60" /f
<SYSTEM32>\reg.exe ADD "HKLM\software\microsoft\windows\currentversion\run" /v "Rafferty Filberto Kipper" /t REG_SZ /d "%WINDIR%\Rafferty Filberto Kipper.exe" /f
<SYSTEM32>\attrib.exe +R +H +S "%WINDIR%\Rafferty Filberto Kipper.exe"
<SYSTEM32>\attrib.exe +R +H +S "%APPDATA%\Microsoft\Windows\Mose.scr"
<SYSTEM32>\attrib.exe -R -H -S "%APPDATA%\Microsoft\Windows\Mose.scr"
<SYSTEM32>\reg.exe ADD "HKCU\Control Panel\Desktop" /v ScreenSaveActive /t REG_SZ /d "1" /f
<SYSTEM32>\reg.exe ADD "HKCU\Control Panel\Desktop" /v "SCRNSAVE.EXE" /t REG_SZ /d "%APPDATA%\Microsoft\Windows\Mose.scr" /f
<SYSTEM32>\sc.exe start "Brig"
<SYSTEM32>\sc.exe create "Patrice" binPath= "%WINDIR%\Patrice\Patrice.exe" start= auto DisplayName= "Brig" description= "Rafferty Filberto Kipper"
<SYSTEM32>\attrib.exe -R -H -S "%WINDIR%\Grover Kenon\Grover Kenon.exe"
<SYSTEM32>\attrib.exe -R -H -S "%WINDIR%\Grover Kenon"
<SYSTEM32>\attrib.exe -R -H -S "%WINDIR%\Patrice\Patrice.exe"
<SYSTEM32>\attrib.exe -R -H -S "%WINDIR%\Patrice"
<SYSTEM32>\attrib.exe +R +H +S "%WINDIR%\Patrice"
<SYSTEM32>\attrib.exe +R +H +S "%WINDIR%\Patrice\Patrice.exe"