Trojan.Inject3.26303

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '%APPDATA%\svchost.exe'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\calc.exe.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\default.bmp.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\toolbar.bmp.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\dashborder_192.bmp.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\testcertificate.cer.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\contoso_1.cer.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\dashborder_96.bmp.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
<Имя диска съемного носителя>:\dial.bmp.id-9fcd2d8f.[bitcoin1@foxmail.com].harma

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\svchost.exe
C:\far2\documentation\rus\plugins_review.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\rus\techinfo.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\addons\colors\custom_highlighting\colors_from_sadovoj.reg.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\encyclopedia\farencyclopedia_ru.chm.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\plugins\ftp\ftpcmds.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\addons\colors\custom_highlighting\descript.ion.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\pluginsdk\headers.c\farcolor.hpp.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\eng\techinfo.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\plugins\ftp\notes.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\plugins\ftp\ftpcmds_rus.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\encyclopedia\tap\code.bin.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\addons\colors\custom_highlighting\dn_like.reg.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\pluginsdk\headers.c\plugin.hpp.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\rus\arc_support.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\addons\colors\custom_highlighting\black_from_myodov.reg.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\addons\colors\custom_highlighting\colors_from_admin_essp_ru.reg.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\rus\bug_report.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\rus\far_faq.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\rus\plugins_install.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\addons\colors\custom_highlighting\black_from_fonarev.reg.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\plugins\ftp\notes_rus.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\eng\plugins_review.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\eng\bug_report.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\eng\plugins_install.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\eng\far_faq.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\documentation\eng\arc_support.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\far2\addons\readme.txt.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
%PROGRAMDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
C:\far2\addons\colors\custom_highlighting\farcolors242.reg.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\setup.xml.id-9fcd2d8f.[bitcoin1@foxmail.com].harma

Присваивает атрибут 'скрытый' для следующих файлов

D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-9fcd2d8f.[bitcoin1@foxmail.com].harma
C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-9fcd2d8f.[bitcoin1@foxmail.com].harma

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C type nul > "<Полный путь к файлу>:Zone.Identifier"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C type nul > "<Полный путь к файлу>:Zone.Identifier"
'%WINDIR%\syswow64\svchost.exe'
'<SYSTEM32>\cmd.exe'
'<SYSTEM32>\mode.com' con cp select=1251