Trojan.PWS.Stealer.26744

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'qwertyhgfdghntre.exe' = '%TEMP%\82949812\omn.exe %TEMP%\82949812\QED_TM~1'

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Google\Google Talk\Accounts]
[<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Identities\{A393BE9D-3F97-4C05-BBA1-37C8B8CA0B32}\Software\Microsoft\Internet Account Manager\Accounts]
[<HKCU>\Identities\{A393BE9D-3F97-4C05-BBA1-37C8B8CA0B32}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
[<HKCU>\Software\Microsoft\MSNMessenger]
[<HKCU>\Software\Yahoo\Pager]
[<HKCU>\Software\Microsoft\IdentityCRL]
[<HKCU>\Software\Microsoft\Windows Live Mail]

Читает файлы, отвечающие за хранение паролей сторонними программами

<LS_APPDATA>\google\chrome\user data\default\login data
<LS_APPDATA>\chromium\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\82949812\qgp.bmp
%TEMP%\82949812\vrl.mp4
%TEMP%\82949812\ris.icm
%TEMP%\82949812\rba.mp3
%TEMP%\82949812\rdg.icm
%TEMP%\82949812\utn.bmp
%TEMP%\82949812\rhx.ico
%TEMP%\82949812\lbm.icm
%TEMP%\82949812\qbc.ico
%TEMP%\82949812\lnx.ppt
%TEMP%\82949812\pvl.pdf
%TEMP%\82949812\emu.mp3
%TEMP%\82949812\dgu.ppt
%TEMP%\82949812\ulv.icm
%TEMP%\82949812\uws.icm
%TEMP%\82949812\edq.xl
%TEMP%\82949812\ooh.txt
%TEMP%\82949812\gva.xl
%TEMP%\82949812\krj.jpg
%TEMP%\82949812\kmv.dat
%TEMP%\82949812\oyjbf
%TEMP%\dc765b4e-c6a8-9ea4-6571-8e578fa1f56c
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\82949812\mvc.xl
%TEMP%\82949812\imv.mp3
%TEMP%\82949812\pnb.icm
%TEMP%\82949812\kgu.docx
%TEMP%\82949812\inw.ico
%TEMP%\82949812\lce.vbs
%TEMP%\82949812\omn.exe
%TEMP%\82949812\pdn.docx
%TEMP%\82949812\tqh.bmp
%TEMP%\82949812\jff.jpg
%TEMP%\82949812\gcp.mp3
%TEMP%\82949812\xrj.bmp
%TEMP%\82949812\ksk.mp3
%TEMP%\82949812\vje.bmp
%TEMP%\82949812\pir.ico
%TEMP%\82949812\ggn.xl
<LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\82949812\tfh.txt
%TEMP%\82949812\dcg.txt
%TEMP%\82949812\hac.icm
%TEMP%\82949812\mqv.txt
%TEMP%\82949812\cip.dat
%TEMP%\82949812\eju.dat
%TEMP%\82949812\vaq.mp4
%TEMP%\82949812\sfr.mp3
%TEMP%\82949812\tsu.pdf
%TEMP%\82949812\ign.pdf
%TEMP%\82949812\mus.docx
%TEMP%\82949812\bhp.dat
%TEMP%\82949812\ule.jpg
%TEMP%\82949812\qed=tmr
%TEMP%\82949812\qup.ico
%TEMP%\tmpea23.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\82949812\omn.exe
%TEMP%\82949812\pdn.docx
%TEMP%\82949812\pir.ico
%TEMP%\82949812\pnb.icm
%TEMP%\82949812\pvl.pdf
%TEMP%\82949812\qbc.ico
%TEMP%\82949812\qed=tmr
%TEMP%\82949812\qgp.bmp
%TEMP%\82949812\qup.ico
%TEMP%\82949812\rba.mp3
%TEMP%\82949812\rdg.icm
%TEMP%\82949812\ris.icm
%TEMP%\82949812\vrl.mp4
%TEMP%\82949812\sfr.mp3
%TEMP%\82949812\tfh.txt
%TEMP%\82949812\tqh.bmp
%TEMP%\82949812\tsu.pdf
%TEMP%\82949812\ule.jpg
%TEMP%\82949812\ulv.icm
%TEMP%\82949812\utn.bmp
%TEMP%\82949812\uws.icm
%TEMP%\82949812\vaq.mp4
%TEMP%\82949812\vje.bmp
%TEMP%\82949812\ooh.txt
%TEMP%\82949812\rhx.ico
%TEMP%\82949812\mvc.xl
%TEMP%\82949812\hac.icm
%TEMP%\82949812\bhp.dat
%TEMP%\82949812\cip.dat
%TEMP%\82949812\dcg.txt
%TEMP%\82949812\dgu.ppt
%TEMP%\82949812\edq.xl
%TEMP%\82949812\eju.dat
%TEMP%\82949812\emu.mp3
%TEMP%\82949812\gcp.mp3
%TEMP%\82949812\ggn.xl
%TEMP%\82949812\gva.xl
%TEMP%\82949812\ign.pdf
%TEMP%\82949812\mqv.txt
%TEMP%\82949812\imv.mp3
%TEMP%\82949812\inw.ico
%TEMP%\82949812\jff.jpg
%TEMP%\82949812\kgu.docx
%TEMP%\82949812\kmv.dat
%TEMP%\82949812\krj.jpg
%TEMP%\82949812\ksk.mp3
%TEMP%\82949812\lbm.icm
%TEMP%\82949812\lce.vbs
%TEMP%\82949812\lnx.ppt
%TEMP%\82949812\mus.docx
%TEMP%\82949812\xrj.bmp

Удаляет следующие файлы

%TEMP%\82949812\oyjbf
%TEMP%\tmpea23.tmp

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' "%TEMP%\82949812\lce.vbs"
'%TEMP%\82949812\omn.exe' qed=tmr
'%TEMP%\82949812\omn.exe' %TEMP%\82949812\OYJBF
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEA23.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpD928.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpEA23.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\tmpD928.tmp"