Trojan.Inject3.27418

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\06881370\NQKNEU~1.EXE %TEMP%\06881370\LBPTQM~1.SLE'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'UDP Subsystem' = '%ProgramFiles(x86)%\UDP Subsystem\udpss.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\udp subsystem
<SYSTEM32>\tasks\udp subsystem task

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

regsvcs.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\06881370\cnakjisis.pdf
%TEMP%\06881370\enek.bin
%TEMP%\06881370\ijvi.jpg
%TEMP%\06881370\oboucahc.log
%TEMP%\06881370\jkkafikecu.xls
%TEMP%\06881370\xgxikbfv.docx
%TEMP%\06881370\fjfvgnhi.exe
%TEMP%\06881370\jwcu.msc
%TEMP%\06881370\jnubodpl.ppt
%TEMP%\06881370\pgxhkpccd.pdf
%TEMP%\06881370\ccrlidcfaw.cpl
%TEMP%\06881370\wbrjfpjaf.cpl
%TEMP%\06881370\ewtncs.cpl
%TEMP%\06881370\onufhcvsh.jpg
%TEMP%\06881370\ksbekrgeci.bmp
%TEMP%\06881370\dpwc.bin
%TEMP%\06881370\cutwj.dat
%TEMP%\06881370\uagjwkis.mp3
%APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\task.dat
%TEMP%\06881370\gkkurqc.msc
%TEMP%\tmpb056.tmp
%ProgramFiles(x86)%\udp subsystem\udpss.exe
%APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\run.dat
%TEMP%\regsvcs.exe
%HOMEPATH%\temp\cnakjisis.pdf
%TEMP%\06881370\tullqoglrx.pdf
%TEMP%\06881370\etnjhcntll.ini
%TEMP%\06881370\ptadwvluxe.docx
%TEMP%\06881370\murb.msc
%TEMP%\06881370\awhvq.pdf
%TEMP%\06881370\frahi.txt
%TEMP%\06881370\kxdxcuov.dll
%TEMP%\06881370\edjnoxg.ini
%TEMP%\06881370\xdxafo.txt
%TEMP%\06881370\gkmgvlvoi.xl
%TEMP%\06881370\xebpx.mp3
%TEMP%\06881370\lfnfkfo.pdf
%TEMP%\06881370\uoedoqfmd.icm
%TEMP%\06881370\onaohqbaf.dll
%TEMP%\06881370\nkxmcal.ppt
%TEMP%\06881370\ilrelh.ini
%TEMP%\06881370\toto.pdf
%TEMP%\06881370\tdbotu.txt
%TEMP%\06881370\ochji.bmp
%TEMP%\06881370\guwhxtjrw.log
%TEMP%\06881370\vxmvtkan.xls
%TEMP%\06881370\nchnxqa.jpg
%TEMP%\06881370\frfegoemhe.txt
%TEMP%\06881370\wxosqkt.bin
%TEMP%\06881370\jxiqacnocg.msc
%TEMP%\06881370\mjlcnumm.exe
%TEMP%\06881370\nqkneupok.exe
%TEMP%\06881370\mxirbp.vbs
%TEMP%\06881370\lbptqmgmr.sle
%TEMP%\06881370\nxnlklqqf.xls
%TEMP%\06881370\duaigqtejx.bmp
%TEMP%\06881370\qvdwqm.bin
%TEMP%\06881370\phsn.bmp
%TEMP%\06881370\vpbwcuxvv.bmp
%TEMP%\06881370\apxsmhuxv.cpl
%TEMP%\06881370\rqsxtrxjo.dat
%TEMP%\06881370\uahnvbncxr.dll
%TEMP%\06881370\scqngjdcxq.bin
%TEMP%\06881370\rjdwasnfmb.txt
%TEMP%\06881370\geqgjgrf.ppt
%TEMP%\06881370\ugffons.xl
%TEMP%\06881370\eaejoxw.ico
%TEMP%\06881370\ufosqgljtp.docx
%TEMP%\06881370\ooddsccxr.jpg
%TEMP%\06881370\kjdlqa.msc
%TEMP%\06881370\rgerck.jpg
%TEMP%\06881370\opvvlte.dat
%TEMP%\06881370\alxcqhcf.dll
%TEMP%\06881370\gofbjvos.dll
%TEMP%\tmpb384.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%TEMP%\06881370\nqkneupok.exe

Удаляет следующие файлы

%TEMP%\tmpb056.tmp
%TEMP%\tmpb384.tmp

Сетевая активность

UDP

DNS ASK ti####p.ddns.net

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%TEMP%\06881370\mxirbp.vbs"
'%TEMP%\06881370\nqkneupok.exe' lbptqmgmr.sle
'%TEMP%\regsvcs.exe'

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /create /f /tn "UDP Subsystem" /xml "%TEMP%\tmpB056.tmp"
'%WINDIR%\syswow64\schtasks.exe' /create /f /tn "UDP Subsystem Task" /xml "%TEMP%\tmpB384.tmp"