Trojan.Fakealert.29116

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Antivirus Protection 2012 SM' = '%APPDATA%\Antivirus Protection 2012\securitymanager.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Antivirus Protection 2012 SH' = '%APPDATA%\Antivirus Protection 2012\securityhelper.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'oqn9upuvumo0' = '<Полный путь к вирусу>'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Antivirus Protection 2012' = '"%APPDATA%\Antivirus Protection 2012\AntivirusProtection2012.exe" /STARTUP'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\Antivirus Protection 2012\AntivirusProtection2012.exe
%APPDATA%\Antivirus Protection 2012\securitymanager.exe
%TEMP%\_1.tmpac7d.exe -p"10:02 AM" -y -o"%APPDATA%\Antivirus Protection 2012"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\destroyer.exe
%TEMP%\1iowieoo.exe
%TEMP%\kjh102k3.exe
%TEMP%\gpupz2a.exe
%TEMP%\puzpup.exe
%TEMP%\cffd4.exe
%TEMP%\cunifuc.exe
%TEMP%\ppddfcfux.exxe
%TEMP%\fe.exe
%TEMP%\hiphop.exe
%TEMP%\cowceb.exe
%TEMP%\lols.exe
%TEMP%\jkfuckfu.exe
%TEMP%\poertd.exe
%TEMP%\format.exe
%TEMP%\alerfa2.exe
%TEMP%\rtfme.exe
%TEMP%\hhbboll_2.exe
%TEMP%\fadz43.exe
%TEMP%\timem.exe
%TEMP%\kjdh_gf_jjdhgd.exe
%TEMP%\w32rim_mem.exe
%TEMP%\winifi.exe
%TEMP%\rator.exe
%TEMP%\02c9c3c35bdx5.exe
%TEMP%\brdss.exe
%TEMP%\d20mes.exe
%TEMP%\ljts-23.exe
%HOMEPATH%\Start Menu\Programs\Antivirus Protection 2012\Antivirus Protection 2012.lnk
%HOMEPATH%\Desktop\Antivirus Protection 2012.lnk
%HOMEPATH%\Start Menu\Programs\Antivirus Protection 2012.lnk
%HOMEPATH%\Start Menu\Programs\Antivirus Protection 2012\Activate Antivirus Protection 2012.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Antivirus Protection 2012.lnk
%HOMEPATH%\Start Menu\Programs\Antivirus Protection 2012\Help Antivirus Protection 2012.lnk
%HOMEPATH%\Start Menu\Programs\Antivirus Protection 2012\How to Activate Antivirus Protection 2012.lnk
%APPDATA%\Antivirus Protection 2012\IcoHelp.ico
%APPDATA%\Antivirus Protection 2012\IcoActivate.ico
%TEMP%\_1.tmpac7d.exe
%APPDATA%\Antivirus Protection 2012\IcoUninstall.ico
%APPDATA%\Antivirus Protection 2012\securityhelper.exe
%APPDATA%\Antivirus Protection 2012\securitymanager.exe
%APPDATA%\Antivirus Protection 2012\AntivirusProtection2012.exe
%TEMP%\jofcdks.exe
%TEMP%\ae0965a7157cd.exe
%TEMP%\safe.exe
%TEMP%\kn.a.exe
%TEMP%\qwedvor.exe
%TEMP%\hvipws9.exe
%TEMP%\hodeme.exe
%TEMP%\tryh-blv.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ea[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ea[1].php
%TEMP%\g_dx234.exe
%TEMP%\protector2.exe
%TEMP%\wefgetn_00.exe
%TEMP%\wwautrsd.exe

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ea[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ea[1].php
%TEMP%\_1.tmpac7d.exe

Сетевая активность:

Подключается к: