Trojan.Packed2.41205

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run] 'winx' = '%APPDATA%\win\wismy.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'winx' = '%APPDATA%\win\wismy.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'winx' = '%APPDATA%\win\wismy.exe'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{DD6BED2F-AFDF-D9A0-4FF4-19AFCF9ACA6A}] 'StubPath' = '%APPDATA%\win\wismy.exe'
[<HKCU>\Software\Microsoft\Active Setup\Installed Components\{DD6BED2F-AFDF-D9A0-4FF4-19AFCF9ACA6A}] 'StubPath' = '%APPDATA%\win\wismy.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\win\wismy.exe' = '%APPDATA%\win\wismy.exe:*:Enabled:Windows ...
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к файлу>' = '<Полный путь к файлу>:*:Enabled:Windows Mess...

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsg2.tmp
%TEMP%\nst3.tmp\Language\AnyDVDhr.lng
%TEMP%\nst3.tmp\Language\AnyDVDhu.lng
%TEMP%\nst3.tmp\Language\AnyDVDid.lng
%TEMP%\nst3.tmp\Language\AnyDVDit.lng
%TEMP%\nst3.tmp\Language\AnyDVDja.lng
%TEMP%\nst3.tmp\Language\AnyDVDko.lng
%TEMP%\nst3.tmp\Language\AnyDVDlt.lng
%TEMP%\nst3.tmp\Language\AnyDVDnl.lng
%TEMP%\nst3.tmp\Language\AnyDVDno.lng
%TEMP%\nst3.tmp\Language\AnyDVDfr.lng
%TEMP%\nst3.tmp\Language\AnyDVDhe.lng
%TEMP%\nst3.tmp\Language\AnyDVDpl.lng
%TEMP%\nst3.tmp\Language\AnyDVDse.lng
%TEMP%\nst3.tmp\Language\AnyDVDsk.lng
%TEMP%\nst3.tmp\Language\AnyDVDsl.lng
%TEMP%\nst3.tmp\Language\AnyDVDsr.lng
%TEMP%\nst3.tmp\Language\AnyDVDtr.lng
%TEMP%\nst3.tmp\Language\AnyDVDtw.lng
%TEMP%\nst3.tmp\Language\AnyDVDua.lng
%TEMP%\nst3.tmp\Language\AnyDVDzh.lng
%TEMP%\nst3.tmp\Language\resource.h
%TEMP%\nst3.tmp\Language\AnyDVDpt.lng
%TEMP%\nst3.tmp\Language\AnyDVDru.lng
%TEMP%\nst3.tmp\Language\AnyDVDfi.lng
%TEMP%\nst3.tmp\Language\AnyDVDfa.lng
%TEMP%\nst3.tmp\Language\AnyDVDet.lng
%TEMP%\Qaqagifudix.Few
%TEMP%\Rosefoxisu.dll
%TEMP%\huhuvane.dll
%TEMP%\terimewa.dll
%TEMP%\romometoqiwo.exe
%APPDATA%\Microsoft\Protect\CREDHIST
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\SetupAnyDVD7110.exe
%TEMP%\nst3.tmp\ExecuteWithUAC.exe
%TEMP%\nst3.tmp\InstallHelp.dll
%TEMP%\Guwiqaremusi.dll
%TEMP%\nst3.tmp\setacl.exe
%APPDATA%\win\wismy.exe
%TEMP%\nst3.tmp\Language\AnyDVDar.lng
%TEMP%\nst3.tmp\Language\AnyDVDbr.lng
%TEMP%\nst3.tmp\Language\AnyDVDca.lng
%TEMP%\nst3.tmp\Language\AnyDVDcz.lng
%TEMP%\nst3.tmp\Language\AnyDVDda.lng
%TEMP%\nst3.tmp\Language\AnyDVDde.lng
%TEMP%\nst3.tmp\Language\AnyDVDel.lng
%TEMP%\nst3.tmp\Language\AnyDVDen.lng
%TEMP%\nst3.tmp\Language\AnyDVDes.lng
%TEMP%\nst3.tmp\AnyDVDtray.exe
%TEMP%\nst3.tmp\ElbyCDIO.dll
%APPDATA%\win\winsys

Удаляет следующие файлы:

%TEMP%\romometoqiwo.exe
%TEMP%\terimewa.dll
%TEMP%\huhuvane.dll
%TEMP%\Rosefoxisu.dll
%TEMP%\Guwiqaremusi.dll
%TEMP%\Qaqagifudix.Few

Сетевая активность:

Подключается к:

'ne###.myvnc.com':3470
'1n####.myvnc.com':3470
'2n####.myvnc.com':3470
'3n####.myvnc.com':3470
'4n####.myvnc.com':3470

UDP:

DNS ASK ne###.myvnc.com
DNS ASK 1n####.myvnc.com
DNS ASK 2n####.myvnc.com
DNS ASK 3n####.myvnc.com
DNS ASK 4n####.myvnc.com

Другое:

Создает и запускает на исполнение:

'%TEMP%\romometoqiwo.exe' <Полный путь к файлу>
'<Полный путь к файлу>'
'%TEMP%\SetupAnyDVD7110.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
'<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<Полный путь к файлу>" /t REG_SZ /d "<Полный путь к файл...
'<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%APPDATA%\win\wismy.exe" /t REG_SZ /d "%APPDATA%\win\wis...
'<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%APPDATA%\win\wismy.exe" /t REG_SZ /d "%APPDATA%\win\wismy.exe:...
'<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<Полный путь к файлу>" /t REG_SZ /d "<Полный путь к файлу>:*:En...