Trojan.KeyLogger.39853

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ISMgr] 'ImagePath' = '<SYSTEM32>\ImageSAFERDrv.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\IMGSF50_Svc] 'ImagePath' = '%WINDIR%\IMGSF50Svc.exe'

Вредоносные функции:

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: <SYSTEM32>\IMGSF50Filter.dll

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Markany_Detector_KFA\DetectorX.lnk
%ProgramFiles%\markany\Detector\markany_ImageSafer_v5.15.413.exe
%HOMEPATH%\Desktop\Markany_Detector_KFA.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Markany_Detector_KFA\Uninstall.lnk
%TEMP%\nsr4.tmp\nsProcess.dll
%WINDIR%\ImageSAFERSvc.exe
<SYSTEM32>\ImageSAFERFilter.dll
%TEMP%\nsr4.tmp\System.dll
<SYSTEM32>\MaRPackCheck_OSChk.exe
<SYSTEM32>\TBarCode4.ocx
%HOMEPATH%\Start Menu\Programs\AIReport5.5\AIViewer.lnk
<SYSTEM32>\Cfx4032.ocx
<SYSTEM32>\SfxBar.dll
%HOMEPATH%\Start Menu\Programs\AIReport5.5\CleanAI50.lnk
%ProgramFiles%\AIViewer50\Uninstall\IRIMG2.JPG
%ProgramFiles%\markany\Detector\Uninstall_Markany_Detector_KFA.exe
%HOMEPATH%\Start Menu\Programs\AIReport5.5\UninstAIReport.lnk
%ProgramFiles%\AIViewer50\Uninstall\IRIMG1.JPG
<SYSTEM32>\IMGSF50Start_x86.exe
<SYSTEM32>\IMGSFMgr.dll
<SYSTEM32>\IMGSF50Helper.dll
<SYSTEM32>\IMGSF50MGR.dll
<SYSTEM32>\ImageSAFERMgr.dll
%WINDIR%\IMGSF50Svc.exe
%TEMP%\nsr4.tmp\MaPlugins.dll
<SYSTEM32>\IMGSF50Lang.xml
<SYSTEM32>\IMGSF50Policy.xml
<SYSTEM32>\ImageSAFERRecovery.exe
<SYSTEM32>\ImageSAFERStart_X86.exe
<SYSTEM32>\ImageSAFERMessage.exe
<SYSTEM32>\ImageSAFERProcMon.dll
<SYSTEM32>\ImageSAFERDrv.sys
<SYSTEM32>\ImgsfProcPolicyForExe.xml
<SYSTEM32>\IMGSF50Filter.dll
<SYSTEM32>\ImageSAFERLang.xml
<SYSTEM32>\ImgsfprocPolicy.xml
%TEMP%\_ir_sf_temp_0\irsetup.exe
%TEMP%\_ir_sf_temp_0\lua5.1.dll
<SYSTEM32>\nsldap32v50.dll
%ProgramFiles%\markany\Detector\AIViewer50Setup.exe
%TEMP%\_ir_sf_temp_0\irsetup.dat
%TEMP%\AIReport5.5 Setup Log.txt
%ProgramFiles%\AIViewer50\Uninstall\uni2.tmp
%TEMP%\_ir_sf_temp_0\IRIMG1.JPG
%TEMP%\_ir_sf_temp_0\IRIMG2.JPG
%ProgramFiles%\markany\Detector\MSVCRTD.DLL
%ProgramFiles%\markany\Detector\nsldap32v11.dll
%ProgramFiles%\markany\Detector\DetectorX.exe
%ProgramFiles%\markany\Detector\gpkiapi.dll
%ProgramFiles%\markany\Detector\LibMAPKCS.dll
<SYSTEM32>\MagicCrypto.dll.hmac
<SYSTEM32>\MagicCrypto.dll
%ProgramFiles%\markany\Detector\libINISafeNet.dll
<SYSTEM32>\INIcrypto20.dll
%ProgramFiles%\AIViewer50\AIViewer.cfg
%ProgramFiles%\AIViewer50\AIViewer.exe
%ProgramFiles%\AIViewer50\AILoad.dll
%ProgramFiles%\AIViewer50\AISave.dll
%ProgramFiles%\AIViewer50\AIViewer.ocx
%ProgramFiles%\AIViewer50\WinXP.Royale.cjstyles
%ProgramFiles%\AIViewer50\UninstAIReport.exe
%ProgramFiles%\AIViewer50\CleanAI50.exe
%ProgramFiles%\AIViewer50\ToolkitPro1031vc60U.dll
%ProgramFiles%\AIViewer50\lua5.1.dll
%ProgramFiles%\AIViewer50\Uninstall\uninstall.xml
%ProgramFiles%\AIViewer50\Uninstall\uninstall.dat
%ProgramFiles%\AIViewer50\uninstall.exe
%ProgramFiles%\AIViewer50\ai.pdf.jar
%ProgramFiles%\AIViewer50\AIEng.dll
%ProgramFiles%\AIViewer50\AIImage.dll
%ProgramFiles%\AIViewer50\ai.xml.jar
%ProgramFiles%\AIViewer50\AICommon.dll

Удаляет следующие файлы:

%TEMP%\_ir_sf_temp_0\lua5.1.dll
%TEMP%\_ir_sf_temp_0\irsetup.exe
<SYSTEM32>\MaRPackCheck_OSChk.exe
%ProgramFiles%\markany\Detector\AIViewer50Setup.exe
%ProgramFiles%\AIViewer50\Uninstall\uni2.tmp
%TEMP%\_ir_sf_temp_0\irsetup.dat
%TEMP%\_ir_sf_temp_0\IRIMG2.JPG
%TEMP%\_ir_sf_temp_0\IRIMG1.JPG

Другое:

Ищет следующие окна:

ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение:

'%WINDIR%\IMGSF50Svc.exe' -start
'%WINDIR%\IMGSF50Svc.exe' -minstall
'<SYSTEM32>\IMGSF50Start_x86.exe'
'%WINDIR%\IMGSF50Svc.exe'
'%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1750498 "__IRAFN:%ProgramFiles%\markany\Detector\AIViewer50Setup.exe" "__IRCT:0" "__IRTSS:6219008" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
'%ProgramFiles%\markany\Detector\AIViewer50Setup.exe'
'<SYSTEM32>\MaRPackCheck_OSChk.exe'
'%ProgramFiles%\markany\Detector\markany_ImageSafer_v5.15.413.exe' /q