Trojan.Fakealert.58777

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '%ALLUSERSPROFILE%\Application Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG00'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'

Создает или изменяет следующие файлы

%HOMEPATH%\Start Menu\programs\startup\msconfig.lnk

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '2500' = '00000003'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\Application Data\rundll32.exe
%ALLUSERSPROFILE%\Application Data\7hll.dat
%ALLUSERSPROFILE%\Application Data\llh7.pad
%ALLUSERSPROFILE%\Application Data\llh7.js
<LS_APPDATA>\microsoft\windows media\9.0\wmsdkns.xml.bak
<LS_APPDATA>\microsoft\windows media\9.0\wmsdknsd.xml

Удаляет следующие файлы

<LS_APPDATA>\microsoft\windows media\9.0\wmsdkns.xml.bak
<LS_APPDATA>\microsoft\windows media\9.0\wmsdknsd.xml

Сетевая активность

Подключается к

'37.##9.53.102':443
'localhost':5152
'66.##7.215.165':443
'37.##9.53.102':80
'66.##7.215.165':80

UDP

DNS ASK wh###illber.com
DNS ASK au######te.windowsmedia.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'ReBarWindow32' WindowName: ''
ClassName: 'WMP9DeskBand' WindowName: 'WMP9DeskBand'
ClassName: '\MSITPro::EventQueue' WindowName: ''
ClassName: 'Type32_Main_Window' WindowName: ''

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG00
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG01
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG02
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG03
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG06
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG04
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG00' (со скрытым окном)
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG01' (со скрытым окном)
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG02' (со скрытым окном)
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG03' (со скрытым окном)
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG06' (со скрытым окном)
'%ALLUSERSPROFILE%\Application Data\rundll32.exe' Data\rundll32.exe %ALLUSERSPROFILE%\Application Data\7hll.dat,FG04' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles%\internet explorer\iexplore.exe'
'<SYSTEM32>\rundll32.exe' "%ProgramFiles%\Microsoft Office\Office12\GrooveUtil.DLL",GetResourceModulePath UaDY6nJxp/aUPczhLw9oi/oqtEc87fMb
'<SYSTEM32>\ctfmon.exe'
'%ProgramFiles%\Windows Media Player\wmplayer.exe'
'%ProgramFiles%\windows media player\setup_wm.exe' /SysTrayAndQuit