Trojan.PWS.Stealer.26900

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\w-4-9-54-1213729793-1170351319-1144192708-3564\{vkptrin-vvbt-7w2o-v4p8-qnqwr734tpb}

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aute844.tmp
%APPDATA%\z86427651\bot.exe
%TEMP%\auteb52.tmp
%APPDATA%\z86427651\trading bot.exe
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\h9txcel5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1ap7acbm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\j1p050sb\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\x7hoxtst\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\amd64_nettun.inf.resources_31bf3856ad364e35_6.3.9600.16384_ru-ru_8d060d0699605dac\config.json

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\amd64_nettun.inf.resources_31bf3856ad364e35_6.3.9600.16384_ru-ru_8d060d0699605dac\icmp.exe
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\h9txcel5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1ap7acbm\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\j1p050sb\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\x7hoxtst\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
%APPDATA%\amd64_nettun.inf.resources_31bf3856ad364e35_6.3.9600.16384_ru-ru_8d060d0699605dac\config.json

Удаляет следующие файлы

Перемещает следующие файлы

%APPDATA%\z86427651\trading bot.exe в %APPDATA%\amd64_nettun.inf.resources_31bf3856ad364e35_6.3.9600.16384_ru-ru_8d060d0699605dac\icmp.exe

Сетевая активность

Подключается к

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%APPDATA%\z86427651\bot.exe'
'%APPDATA%\z86427651\trading bot.exe'
'%APPDATA%\amd64_nettun.inf.resources_31bf3856ad364e35_6.3.9600.16384_ru-ru_8d060d0699605dac\icmp.exe'
'%APPDATA%\amd64_nettun.inf.resources_31bf3856ad364e35_6.3.9600.16384_ru-ru_8d060d0699605dac\icmp.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'<SYSTEM32>\taskeng.exe' {F6248BE3-9AC4-4CD4-A3E3-23630C24F202} S-1-5-21-1960123792-2022915161-3775307078-1001:duqwcq\user:Interactive:[1]