Trojan.PWS.Stealer.19064

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\logman.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\logman.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'logman' = '"%APPDATA%\Microsoft\Windows\dllcache\logman.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'logman' = '"%APPDATA%\Microsoft\Windows\dllcache\logman.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\logman.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\dllcache\logman.exe'

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\svchost.exe
%WINDIR%\Explorer.EXE

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\kbdca.dll
%APPDATA%\Microsoft\Windows\dllcache\edit.hlp
%APPDATA%\Microsoft\Windows\dllcache\graftabl.com
%APPDATA%\Microsoft\Windows\dllcache\grpconv.exe
%APPDATA%\Microsoft\Windows\dllcache\advpack.dll
%APPDATA%\Microsoft\Windows\dllcache\rasautou.exe
%APPDATA%\Microsoft\Windows\dllcache\pagefileconfig.vbs
%APPDATA%\Microsoft\Windows\dllcache\mdhcp.dll
%APPDATA%\Microsoft\Windows\dllcache\ncpa.cpl
%APPDATA%\Microsoft\Windows\dllcache\wiasf.ax
%APPDATA%\Microsoft\Windows\dllcache\KBDAL.DLL
%APPDATA%\Microsoft\Windows\dllcache\dskquota.dll
%APPDATA%\Microsoft\Windows\dllcache\pentnt.exe
%APPDATA%\Microsoft\Windows\dllcache\xxx_fb.dll
%APPDATA%\Microsoft\Windows\dllcache\netfxperf.dll
%APPDATA%\Microsoft\Windows\dllcache\desktop.ini
%APPDATA%\Microsoft\Windows\dllcache\cliconf.chm
%APPDATA%\Microsoft\Windows\dllcache\mrinfo.exe
%APPDATA%\Microsoft\Windows\dllcache\idq.dll
%APPDATA%\Microsoft\Windows\dllcache\icaapi.dll
%APPDATA%\Microsoft\Windows\dllcache\rasctrnm.h
%APPDATA%\Microsoft\Windows\dllcache\tcmsetup.exe
%APPDATA%\Microsoft\Windows\dllcache\plustab.dll
%APPDATA%\Microsoft\Windows\dllcache\rdpcfgex.dll
%APPDATA%\Microsoft\Windows\dllcache\mlang.dat
%APPDATA%\Microsoft\Windows\dllcache\umpnpmgr.dll
%APPDATA%\Microsoft\Windows\dllcache\adptif.dll
%APPDATA%\Microsoft\Windows\dllcache\webcheck.dll
%APPDATA%\Microsoft\Windows\dllcache\odbcbcp.dll
%APPDATA%\Microsoft\Windows\dllcache\rsvpperf.dll
%APPDATA%\Microsoft\Windows\dllcache\wbcache.deu
%APPDATA%\Microsoft\Windows\dllcache\rasauto.dll
%APPDATA%\Microsoft\Windows\dllcache\cfgbkend.dll
%APPDATA%\Microsoft\Windows\dllcache\expsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdsf.dll
%APPDATA%\Microsoft\Windows\dllcache\ega.cpi
%APPDATA%\Microsoft\Windows\dllcache\chkdsk.exe
%APPDATA%\Microsoft\Windows\dllcache\access.cpl
%APPDATA%\Microsoft\Windows\dllcache\safrslv.dll
%APPDATA%\Microsoft\Windows\dllcache\h323msp.dll
%APPDATA%\Microsoft\Windows\dllcache\rasrad.dll
%APPDATA%\Microsoft\Windows\dllcache\icwphbk.dll
%APPDATA%\Microsoft\Windows\dllcache\blastcln.exe
%APPDATA%\Microsoft\Windows\dllcache\xpob2res.dll
%APPDATA%\Microsoft\Windows\dllcache\feclient.dll
%APPDATA%\Microsoft\Windows\dllcache\txflog.dll
%APPDATA%\Microsoft\Windows\dllcache\umandlg.dll
%APPDATA%\Microsoft\Windows\dllcache\gpedit.dll
%APPDATA%\Microsoft\Windows\dllcache\ntio.sys
%APPDATA%\Microsoft\Windows\dllcache\main.cpl
%APPDATA%\Microsoft\Windows\dllcache\perfnw.dll
%APPDATA%\Microsoft\Windows\dllcache\neth.dll
%APPDATA%\Microsoft\Windows\dllcache\findstr.exe
%APPDATA%\Microsoft\Windows\dllcache\sc.exe
%APPDATA%\Microsoft\Windows\dllcache\qedit.dll
%APPDATA%\Microsoft\Windows\dllcache\xcopy.exe
%APPDATA%\Microsoft\Windows\dllcache\mll_mtf.dll
%APPDATA%\Microsoft\Windows\dllcache\iassdo.dll
%APPDATA%\Microsoft\Windows\dllcache\browselc.dll
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\9DE1BE33D1EF9AEFA6FE4DE3F003818C9719B0F4
%APPDATA%\Microsoft\Windows\dllcache\logman.exe
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\a15fdc1afdd124ae70d9a70d329a6b0a_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Protect\CREDHIST
%TEMP%\tmp1.tmp
C:\Documents and Settings\Default User\Start Menu\Programs\Startup\logman.lnk
%APPDATA%\Microsoft\Windows\dllcache\taskman.exe
%TEMP%\tmp4.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
%APPDATA%\Microsoft\Windows\dllcache\locator.exe
%APPDATA%\Microsoft\Windows\dllcache\fltlib.dll
%APPDATA%\Microsoft\Windows\dllcache\mchgrcoi.dll
%APPDATA%\Microsoft\Windows\dllcache\efsadu.dll
%APPDATA%\Microsoft\Windows\dllcache\v7vga.rom
%APPDATA%\Microsoft\Windows\dllcache\acelpdec.ax
%APPDATA%\Microsoft\Windows\dllcache\taskmgr.exe
%APPDATA%\Microsoft\Windows\dllcache\login.cmd
%APPDATA%\Microsoft\Windows\dllcache\samlib.dll
%APPDATA%\Microsoft\Windows\dllcache\vjoy.dll
%APPDATA%\Microsoft\Windows\dllcache\rasctrs.ini
%APPDATA%\Microsoft\Windows\dllcache\scriptpw.dll
%APPDATA%\Microsoft\Windows\dllcache\linkinfo.dll
%APPDATA%\Microsoft\Windows\dllcache\homepage.inf
%APPDATA%\Microsoft\Windows\dllcache\d3dpmesh.dll
%APPDATA%\Microsoft\Windows\dllcache\tapisrv.dll
%APPDATA%\Microsoft\Windows\dllcache\dbnmpntw.dll
%APPDATA%\Microsoft\Windows\dllcache\p2p.dll
%APPDATA%\Microsoft\Windows\dllcache\aclui.dll
%APPDATA%\Microsoft\Windows\dllcache\ufat.dll
%APPDATA%\Microsoft\Windows\dllcache\qasf.dll
%APPDATA%\Microsoft\Windows\dllcache\fontview.exe
%APPDATA%\Microsoft\Windows\dllcache\faultrep.dll