Trojan.Inject.24138

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{FO780ARW-AP83-4706-U6FM-G10Y302ENK53}] 'StubPath' = '<SYSTEM32>\windir\Svchost.exe Restart'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{FO780ARW-AP83-4706-U6FM-G10Y302ENK53}] 'StubPath' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HKLM' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HKCU' = ''

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\windir\Svchost.exe

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\49d7ea94ba24b14cfaf77ff2d17da9f6_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\a53115e6740dd8fc05df80a51e370182_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\6726287a95c68bd99a43ef48457174b3_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\6cd96847037020efbe14cd3db9200422_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\e26a3436e91a38cdac6018e7335630a3_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\4c62b73389f5a256571710456e60dad5_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\815468011782f384372c57a4dde13fe8_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\fcb0368145b2b452bb42758965b67fbe_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\%USERNAME%3SQLite3.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\sqlite3[1].dll
%TEMP%\178140.tmp
%TEMP%\%USERNAME%8
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\c2802f77185381651d38494188cb6a41_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\e2372a5e55a3bd6595105c48b8f12720_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\c13ededf2f1ab3182f98158fe0f7efd4_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Protect\S-1-5-21-1275210071-117609710-1801674531-500\c3f07aab-b653-4cb0-af5a-b4b9fad80005
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\8543b13e617d73c851a9a23314da182f_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
<SYSTEM32>\Microsoft\Protect\S-1-5-18\42fb4847-e85f-41b8-83d1-533546d58a12
%APPDATA%\%USERNAME%log.dat
%TEMP%\%USERNAME%7
%TEMP%\%USERNAME%2.txt
<SYSTEM32>\Microsoft\Protect\S-1-5-18\Preferred
<SYSTEM32>\windir\Svchost.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\%USERNAME%log.dat
<SYSTEM32>\windir\Svchost.exe

Удаляет следующие файлы:

%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\4c62b73389f5a256571710456e60dad5_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\6cd96847037020efbe14cd3db9200422_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\fcb0368145b2b452bb42758965b67fbe_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\49d7ea94ba24b14cfaf77ff2d17da9f6_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%TEMP%\%USERNAME%8
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\e2372a5e55a3bd6595105c48b8f12720_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\8543b13e617d73c851a9a23314da182f_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
%TEMP%\%USERNAME%7
%TEMP%\%USERNAME%2.txt

Сетевая активность:

Подключается к: