Trojan.Inject2.31828

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'openfiles' = '"%APPDATA%\Microsoft\Windows\dllcache\openfiles.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'openfiles' = '"%APPDATA%\Microsoft\Windows\dllcache\openfiles.exe"'
[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\openfiles.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\openfiles.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\openfiles.lnk

Вредоносные функции:

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
<SYSTEM32>\ctfmon.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Windows\dllcache\netcfgx.dll
%APPDATA%\Microsoft\Windows\dllcache\mll_mtf.dll
%APPDATA%\Microsoft\Windows\dllcache\tslabels.h
%APPDATA%\Microsoft\Windows\dllcache\oakley.dll
%APPDATA%\Microsoft\Windows\dllcache\findstr.exe
%APPDATA%\Microsoft\Windows\dllcache\ieakeng.dll
%APPDATA%\Microsoft\Windows\dllcache\gcdef.dll
%APPDATA%\Microsoft\Windows\dllcache\tapisrv.dll
%APPDATA%\Microsoft\Windows\dllcache\faultrep.dll
%APPDATA%\Microsoft\Windows\dllcache\qedit.dll
%APPDATA%\Microsoft\Windows\dllcache\accwiz.exe
%APPDATA%\Microsoft\Windows\dllcache\wiasf.ax
%APPDATA%\Microsoft\Windows\dllcache\rasrad.dll
%APPDATA%\Microsoft\Windows\dllcache\cabinet.dll
%APPDATA%\Microsoft\Windows\dllcache\adsldp.dll
%APPDATA%\Microsoft\Windows\dllcache\iassam.dll
%APPDATA%\Microsoft\Windows\dllcache\gpkcsp.dll
%APPDATA%\Microsoft\Windows\dllcache\PresentationHostProxy.dll
%APPDATA%\Microsoft\Windows\dllcache\iasnap.dll
%APPDATA%\Microsoft\Windows\dllcache\proquota.exe
%APPDATA%\Microsoft\Windows\dllcache\txflog.dll
%APPDATA%\Microsoft\Windows\dllcache\mfc100kor.dll
%APPDATA%\Microsoft\Windows\dllcache\narrhook.dll
%APPDATA%\Microsoft\Windows\dllcache\rasctrnm.h
%APPDATA%\Microsoft\Windows\dllcache\sc.exe
%APPDATA%\Microsoft\Windows\dllcache\catsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\rasman.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdtuq.dll
%APPDATA%\Microsoft\Windows\dllcache\ntmsoprq.msc
%APPDATA%\Microsoft\Windows\dllcache\t2embed.dll
%APPDATA%\Microsoft\Windows\dllcache\regsvc.dll
%APPDATA%\Microsoft\Windows\dllcache\iasacct.dll
%APPDATA%\Microsoft\Windows\dllcache\perfnw.dll
%APPDATA%\Microsoft\Windows\dllcache\qdvd.dll
%APPDATA%\Microsoft\Windows\dllcache\joy.cpl
%APPDATA%\Microsoft\Windows\dllcache\gb2312.uce
%APPDATA%\Microsoft\Windows\dllcache\kbdukx.dll
%APPDATA%\Microsoft\Windows\dllcache\dfrgntfs.exe
%APPDATA%\Microsoft\Windows\dllcache\netware.drv
%APPDATA%\Microsoft\Windows\dllcache\rcimlby.exe
%APPDATA%\Microsoft\Windows\dllcache\ideograf.uce
%APPDATA%\Microsoft\Windows\dllcache\batmeter.dll
%APPDATA%\Microsoft\Windows\dllcache\nbtstat.exe
%APPDATA%\Microsoft\Windows\dllcache\samlib.dll
%APPDATA%\Microsoft\Windows\dllcache\ntio.sys
%APPDATA%\Microsoft\Windows\dllcache\fc.exe
%APPDATA%\Microsoft\Windows\dllcache\safrcdlg.dll
%APPDATA%\Microsoft\Windows\dllcache\lanman.drv
%APPDATA%\Microsoft\Windows\dllcache\datime.dll
%APPDATA%\Microsoft\Windows\dllcache\rasctrs.ini
%APPDATA%\Microsoft\Windows\dllcache\rsvpperf.dll
%APPDATA%\Microsoft\Windows\dllcache\libisc.dll
%APPDATA%\Microsoft\Windows\dllcache\mll_qic.dll
%APPDATA%\Microsoft\Windows\dllcache\format.com
%APPDATA%\Microsoft\Windows\dllcache\icardagt.exe
%APPDATA%\Microsoft\Windows\dllcache\kbduk.dll
%APPDATA%\Microsoft\Windows\dllcache\rasadhlp.dll
%APPDATA%\Microsoft\Windows\dllcache\aaaamon.dll
%APPDATA%\Microsoft\Windows\dllcache\noise.deu
%APPDATA%\Microsoft\Windows\dllcache\v7vga.rom
%APPDATA%\Microsoft\Windows\dllcache\xcopy.exe
%APPDATA%\Microsoft\Windows\dllcache\bopomofo.uce
C:\Documents and Settings\Default User\Start Menu\Programs\Startup\openfiles.lnk
%TEMP%\tmp4.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
%TEMP%\tmp1.tmp
%APPDATA%\Microsoft\Windows\dllcache\openfiles.exe
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\F7676413B205C2F7AC98789AFE976E9B5410055C
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\fbe3b4a522526b69376bd66f5ca69a8d_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\CREDHIST
%APPDATA%\Microsoft\Windows\dllcache\libdns.dll
%APPDATA%\Microsoft\Windows\dllcache\wavemsp.dll
%APPDATA%\Microsoft\Windows\dllcache\userenv.dll
%APPDATA%\Microsoft\Windows\dllcache\olecli.dll
%APPDATA%\Microsoft\Windows\dllcache\wbcache.nld
%APPDATA%\Microsoft\Windows\dllcache\packager.exe
%APPDATA%\Microsoft\Windows\dllcache\cacls.exe
%APPDATA%\Microsoft\Windows\dllcache\lmrt.dll
%APPDATA%\Microsoft\Windows\dllcache\gdi.exe
%APPDATA%\Microsoft\Windows\dllcache\blastcln.exe
%APPDATA%\Microsoft\Windows\dllcache\vga64k.dll
%APPDATA%\Microsoft\Windows\dllcache\esentprf.dll
%APPDATA%\Microsoft\Windows\dllcache\iassdo.dll
%APPDATA%\Microsoft\Windows\dllcache\cliconfg.dll
%APPDATA%\Microsoft\Windows\dllcache\webvw.dll
%APPDATA%\Microsoft\Windows\dllcache\xxx_fb.dll
%APPDATA%\Microsoft\Windows\dllcache\ncpa.cpl
%APPDATA%\Microsoft\Windows\dllcache\hnetmon.dll
%APPDATA%\Microsoft\Windows\dllcache\grpconv.exe
%APPDATA%\Microsoft\Windows\dllcache\powrprof.dll
%APPDATA%\Microsoft\Windows\dllcache\magnify.exe
%APPDATA%\Microsoft\Windows\dllcache\dbgeng.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdsw.dll
%APPDATA%\Microsoft\Windows\dllcache\wbcache.esn
%APPDATA%\Microsoft\Windows\dllcache\append.exe
%APPDATA%\Microsoft\Windows\dllcache\cfgbkend.dll
%APPDATA%\Microsoft\Windows\dllcache\edlin.exe