Trojan.AutoIt.609

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\RimArts\B2\Settings]
[<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
[<HKCU>\Software\FTPWare\COREFTP\Sites]

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%TEMP%\94041165\leiucrwp.dat
%TEMP%\94041165\gnorsdi.jpg
%TEMP%\94041165\opcdktuj.ppt
%TEMP%\94041165\rkbal.log
%TEMP%\94041165\vjkombpkn.jpg
%TEMP%\94041165\kraq.bin
%TEMP%\94041165\rqcttnq.bmp
%TEMP%\94041165\plgdqejt.bmp
%TEMP%\94041165\jflpttu.msc
%TEMP%\94041165\esowgnsh.jpg
%TEMP%\94041165\pbqcelgak.ico
%TEMP%\94041165\frbauhxjgi.bmp
%TEMP%\94041165\jkrhoix.xml
%TEMP%\94041165\qvjro.bmp
%TEMP%\94041165\jolon.jpg
%TEMP%\94041165\dcpqtgtp.icm
%TEMP%\94041165\ddhvkdscxf.dll
%TEMP%\94041165\oqanqt.xls
%TEMP%\94041165\lejw.icm
%TEMP%\94041165\ahtrjgtc.jpg
%TEMP%\94041165\rnidtq.xl
%TEMP%\94041165\botfaxshsg.ico
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%HOMEPATH%\temp\leiucrwp.dat
%TEMP%\94041165\vbmmipxru.ini
%TEMP%\94041165\rknrivow.ppt
%TEMP%\94041165\pwdavxvbv.cpl
%TEMP%\94041165\jxnv.dat
%TEMP%\94041165\hamgnm.dll
%TEMP%\94041165\mnjpdhv.xml
%TEMP%\94041165\jknftqn.xml
%TEMP%\94041165\xpssax.ppt
%TEMP%\94041165\luedonhiv.jpg
%TEMP%\94041165\csvkxnoxs.dat
%TEMP%\94041165\ehdnxv.docx
%TEMP%\94041165\skjkhjsgxh.exe
%TEMP%\94041165\oevwnqjltc.mp3
%TEMP%\94041165\nbjn.icm
%TEMP%\94041165\gcqnvfn.xls
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\94041165\pndshwib.docx
%TEMP%\94041165\pssmppbi.xml
%TEMP%\94041165\xeewquflu.icm
%TEMP%\94041165\pmopbbli.ppt
%TEMP%\94041165\qxxpfpdk.ico
%TEMP%\94041165\uworxfwsk.cpl
%TEMP%\94041165\kifmvlv.txt
%TEMP%\94041165\kqnondbc.ico
%TEMP%\94041165\xutoq.xml
%TEMP%\94041165\bmbeumo.xls
%TEMP%\94041165\wlufhm.bin
%TEMP%\94041165\livknwux.cpl
%TEMP%\94041165\rvpstbues.txt
%TEMP%\94041165\wfrduscaca.xls
%TEMP%\94041165\nnoqdel.icm
%TEMP%\94041165\dlfpiupmqq.pdf
%TEMP%\94041165\cdqfp.bin
%TEMP%\94041165\etrdxtqqe.exe
%TEMP%\94041165\aekooeipdv.vbe
%TEMP%\94041165\gcivm.kpc
%TEMP%\94041165\sccvqr.txt
%TEMP%\94041165\wmadjvsvu.xl
%TEMP%\94041165\rcwe.cpl
%TEMP%\94041165\fslahiblgf.txt
%TEMP%\94041165\wace.dll
%TEMP%\94041165\jxto.cpl
%TEMP%\94041165\otwxxwk.pdf
%TEMP%\94041165\swamqw.bmp
%TEMP%\94041165\esvvjf.xl
%TEMP%\94041165\dtduoiog.ini
%TEMP%\94041165\vrnrvhl.docx
%TEMP%\94041165\jtugcihlm.exe
%TEMP%\94041165\ckalgetq.msc
%TEMP%\94041165\ruklx.dat
%TEMP%\94041165\umwetao.dat
%TEMP%\94041165\lsolkjog.ico
%TEMP%\94041165\fgjik.icm
%TEMP%\94041165\uouqgkniue.bmp
%TEMP%\94041165\jtjwdahf.docx
%TEMP%\94041165\toprj.mp3
%TEMP%\94041165\kbml.docx
%TEMP%\94041165\vjxggdo.cpl
%TEMP%\94041165\jfocs.exe
<LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol