Trojan.KeyLogger.14314

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mstwain32' = 'C:\Server.exe'

Вредоносные функции:

Создает и запускает на исполнение:

C:\Server.exe

Запускает на исполнение:

<SYSTEM32>\taskkill.exe /f /im avpupdates.exe
<SYSTEM32>\taskkill.exe /f /im avpupd.exe
<SYSTEM32>\taskkill.exe /f /im avrescue.exe
<SYSTEM32>\taskkill.exe /f /im avwin95.exe
<SYSTEM32>\taskkill.exe /f /im avsynmgr.exe
<SYSTEM32>\taskkill.exe /f /im avptc32.exe
<SYSTEM32>\taskkill.exe /f /im avpinst.exe
<SYSTEM32>\taskkill.exe /f /im avpexec.exe
<SYSTEM32>\taskkill.exe /f /im avpm.exe
<SYSTEM32>\taskkill.exe /f /im avptc.exe
<SYSTEM32>\taskkill.exe /f /im avpmonitor.exe
<SYSTEM32>\taskkill.exe /f /im avwinnt.exe
<SYSTEM32>\taskkill.exe /f /im avxquar.exe
<SYSTEM32>\taskkill.exe /f /im avxnews.exe
<SYSTEM32>\taskkill.exe /f /im avxsch.exe
<SYSTEM32>\taskkill.exe /f /im BACKLOG.exe
<SYSTEM32>\taskkill.exe /f /im avxw.exe
<SYSTEM32>\taskkill.exe /f /im avxmonitornt.exe
<SYSTEM32>\taskkill.exe /f /im avxgui.exe
<SYSTEM32>\taskkill.exe /f /im avwupd32.exe
<SYSTEM32>\taskkill.exe /f /im avxinit.exe
<SYSTEM32>\taskkill.exe /f /im avxmonitor9x.exe
<SYSTEM32>\taskkill.exe /f /im avxlive.exe
<SYSTEM32>\taskkill.exe /f /im avpdos32.exe
<SYSTEM32>\taskkill.exe /f /im avgcc32.exe
<SYSTEM32>\taskkill.exe /f /im ave32.exe
<SYSTEM32>\taskkill.exe /f /im avgctrl.exe
<SYSTEM32>\taskkill.exe /f /im avgserv9.exe
<SYSTEM32>\taskkill.exe /f /im avgserv.exe
<SYSTEM32>\taskkill.exe /f /im avconsol.exe
<SYSTEM32>\taskkill.exe /f /im atwatch.exe
<SYSTEM32>\taskkill.exe /f /im atupdater.exe
<SYSTEM32>\taskkill.exe /f /im autodown.exe
<SYSTEM32>\taskkill.exe /f /im autoupdate.exe
<SYSTEM32>\taskkill.exe /f /im autotrace.exe
<SYSTEM32>\taskkill.exe /f /im avgserv9schedapp.exe
<SYSTEM32>\taskkill.exe /f /im avp32.exe
<SYSTEM32>\taskkill.exe /f /im avp.exe
<SYSTEM32>\taskkill.exe /f /im avpcc.exe
<SYSTEM32>\taskkill.exe /f /im avpccavpm.exe
<SYSTEM32>\taskkill.exe /f /im AVPCC Service.exe
<SYSTEM32>\taskkill.exe /f /im avnt.exe
<SYSTEM32>\taskkill.exe /f /im avkserv.exe
<SYSTEM32>\taskkill.exe /f /im avkpop.exe
<SYSTEM32>\taskkill.exe /f /im avkservice.exe
<SYSTEM32>\taskkill.exe /f /im avkwctl9.exe
<SYSTEM32>\taskkill.exe /f /im avkwcl9.exe
<SYSTEM32>\taskkill.exe /f /im cpd.exe
<SYSTEM32>\taskkill.exe /f /im conseal.exe
<SYSTEM32>\taskkill.exe /f /im cpf9x206.exe
<SYSTEM32>\taskkill.exe /f /im defalert.exe
<SYSTEM32>\taskkill.exe /f /im ctrl.exe
<SYSTEM32>\taskkill.exe /f /im connectionmonitor.exe
<SYSTEM32>\taskkill.exe /f /im cleanpc.exe
<SYSTEM32>\taskkill.exe /f /im cleaner3.exe
<SYSTEM32>\taskkill.exe /f /im cmgrdian.exe
<SYSTEM32>\taskkill.exe /f /im codered.exe
<SYSTEM32>\taskkill.exe /f /im cmon016.exe
<SYSTEM32>\taskkill.exe /f /im defence.exe
<SYSTEM32>\taskkill.exe /f /im drweb32.exe
<SYSTEM32>\taskkill.exe /f /im drwatson.exe
<SYSTEM32>\taskkill.exe /f /im dvp95.exe
<SYSTEM32>\taskkill.exe /f /im ecengine.exe
<SYSTEM32>\taskkill.exe /f /im dvp95_0.exe
<SYSTEM32>\taskkill.exe /f /im dpf.exe
<SYSTEM32>\taskkill.exe /f /im defscangui.exe
<SYSTEM32>\taskkill.exe /f /im defense.exe
<SYSTEM32>\taskkill.exe /f /im defwatch.exe
<SYSTEM32>\taskkill.exe /f /im doors.exe
<SYSTEM32>\taskkill.exe /f /im deputy.exe
<SYSTEM32>\taskkill.exe /f /im cleaner.exe
<SYSTEM32>\taskkill.exe /f /im blackiceblackd.exe
<SYSTEM32>\taskkill.exe /f /im blackice.exe
<SYSTEM32>\taskkill.exe /f /im BootWarn.exe
<SYSTEM32>\taskkill.exe /f /im bs120.exe
<SYSTEM32>\taskkill.exe /f /im borg2.exe
<SYSTEM32>\taskkill.exe /f /im blackd.exe
<SYSTEM32>\taskkill.exe /f /im bidef.exe
<SYSTEM32>\taskkill.exe /f /im bd_professional.exe
<SYSTEM32>\taskkill.exe /f /im bidserver.exe
<SYSTEM32>\taskkill.exe /f /im bisp.exe
<SYSTEM32>\taskkill.exe /f /im bipcp.exe
<SYSTEM32>\taskkill.exe /f /im bullguard.exe
<SYSTEM32>\taskkill.exe /f /im cfinet32.exe
<SYSTEM32>\taskkill.exe /f /im cfinet.exe
<SYSTEM32>\taskkill.exe /f /im claw95.exe
<SYSTEM32>\taskkill.exe /f /im clean.exe
<SYSTEM32>\taskkill.exe /f /im claw95cf.exe
<SYSTEM32>\taskkill.exe /f /im cfiaudit.exe
<SYSTEM32>\taskkill.exe /f /im ccPwdSrc.exe
<SYSTEM32>\taskkill.exe /f /im ccIMScan.exe
<SYSTEM32>\taskkill.exe /f /im ccpxysvc.exe
<SYSTEM32>\taskkill.exe /f /im cfiadmin.exe
<SYSTEM32>\taskkill.exe /f /im cdp.exe
<SYSTEM32>\taskkill.exe /f /im atscan.exe
<SYSTEM32>\taskkill.exe /f /im updclient.exe
<SYSTEM32>\taskkill.exe /f /im zlclient.exe
<SYSTEM32>\taskkill.exe /f /im ccapp.exe
<SYSTEM32>\taskkill.exe /f /im norton.exe
<SYSTEM32>\taskkill.exe /f /im navw32.exe
<SYSTEM32>\taskkill.exe /f /im zonealarm.exe
<SYSTEM32>\taskkill.exe /f /im msiexec.exe
<SYSTEM32>\taskkill.exe /f /im mghml.exe
<SYSTEM32>\taskkill.exe /f /im outpost.exe
<SYSTEM32>\taskkill.exe /f /im minilog.exe
<SYSTEM32>\taskkill.exe /f /im isafe.exe
<SYSTEM32>\taskkill.exe /f /im navapsvc.exe
<SYSTEM32>\taskkill.exe /f /im cpdclnt.exe
<SYSTEM32>\taskkill.exe /f /im issvc.exe
<SYSTEM32>\taskkill.exe /f /im pavprsrv.exe
<SYSTEM32>\taskkill.exe /f /im avengine.exe
<SYSTEM32>\taskkill.exe /f /im pavprot.exe
<SYSTEM32>\taskkill.exe /f /im nisum.exe
<SYSTEM32>\taskkill.exe /f /im cccproxy.exe
<SYSTEM32>\taskkill.exe /f /im ccsetmgr.exe
<SYSTEM32>\taskkill.exe /f /im ccevtmgr.exe
<SYSTEM32>\taskkill.exe /f /im logexprt.exe
<SYSTEM32>\taskkill.exe /f /im npfmntor.exe
<SYSTEM32>\taskkill.exe /f /im mcafee.exe
<SYSTEM32>\taskkill.exe /f /im kav.exe
<SYSTEM32>\taskkill.exe /f /im nod32.exe
<SYSTEM32>\taskkill.exe /f /im kavmm.exe
<SYSTEM32>\taskkill.exe /f /im avgcc.exe
<SYSTEM32>\taskkill.exe /f /im avgemc.exe
<SYSTEM32>\taskkill.exe /f /im nod32krn.exe
<SYSTEM32>\net1.exe stop SharedAccess
<SYSTEM32>\net.exe stop SharedAccess
<SYSTEM32>\cmd.exe /c ""C:\Super_Kill.bat" "
<SYSTEM32>\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen C:\PQAAAJ4HOH1yqA5nuQ_-UTI1ZR-VC835yDQtWIiUh1hZhfpoTqXkg5Nmhq1kAhcpjUjbyYrnmdpDPl-pYwoKVn8DwlIAm1T1UAu3bj5N77NTjZBcYskCeqppCknN.jpg
<SYSTEM32>\taskkill.exe /f /im avgas.exe
<SYSTEM32>\taskkill.exe /f /im avgamsvr.exe
<SYSTEM32>\taskkill.exe /f /im ewidoctrl.exe
<SYSTEM32>\taskkill.exe /f /im aswupdsv.exe
<SYSTEM32>\taskkill.exe /f /im guard.exe
<SYSTEM32>\taskkill.exe /f /im msmpeng.exe
<SYSTEM32>\taskkill.exe /f /im gcasdtserv.exe
<SYSTEM32>\taskkill.exe /f /im ashserv.exe
<SYSTEM32>\taskkill.exe /f /im avgw.exe
<SYSTEM32>\taskkill.exe /f /im avgupsvc.exe
<SYSTEM32>\taskkill.exe /f /im ashwebsv.exe
<SYSTEM32>\taskkill.exe /f /im ashmaisv.exe
<SYSTEM32>\taskkill.exe /f /im ashdisp.exe
<SYSTEM32>\taskkill.exe /f /im ahnsd.exe
<SYSTEM32>\taskkill.exe /f /im agv.exe
<SYSTEM32>\taskkill.exe /f /im alertsvc.exe
<SYSTEM32>\taskkill.exe /f /im amon.exe
<SYSTEM32>\taskkill.exe /f /im alogserv.exe
<SYSTEM32>\taskkill.exe /f /im agentsvr.exe
<SYSTEM32>\taskkill.exe /f /im _avpcc.exe
<SYSTEM32>\taskkill.exe /f /im _avp32.exe
<SYSTEM32>\taskkill.exe /f /im _avpm.exe
<SYSTEM32>\taskkill.exe /f /im advxdwin.exe
<SYSTEM32>\taskkill.exe /f /im ackwin32.exe
<SYSTEM32>\taskkill.exe /f /im amon9x.exe
<SYSTEM32>\taskkill.exe /f /im aplica32.exe
<SYSTEM32>\taskkill.exe /f /im apimonitor.exe
<SYSTEM32>\taskkill.exe /f /im atcon.exe
<SYSTEM32>\taskkill.exe /f /im ats.exe
<SYSTEM32>\taskkill.exe /f /im atguard.exe
<SYSTEM32>\taskkill.exe /f /im antssircam.exe
<SYSTEM32>\taskkill.exe /f /im anti -trojan.exe
<SYSTEM32>\taskkill.exe /f /im amonavp32.exe
<SYSTEM32>\taskkill.exe /f /im antivir.exe
<SYSTEM32>\taskkill.exe /f /im ants.exe
<SYSTEM32>\taskkill.exe /f /im antivirus.exe
<SYSTEM32>\taskkill.exe /f /im mvtx.exe
<SYSTEM32>\taskkill.exe /f /im spiderml.exe
<SYSTEM32>\taskkill.exe /f /im sccomm.exe
<SYSTEM32>\taskkill.exe /f /im sgmain.exe
<SYSTEM32>\taskkill.exe /f /im kpf4gui.exe
<SYSTEM32>\taskkill.exe /f /im spywareguard.exe
<SYSTEM32>\taskkill.exe /f /im avsched32.exe
<SYSTEM32>\taskkill.exe /f /im webproxy.exe
<SYSTEM32>\taskkill.exe /f /im apvxdwin.exe
<SYSTEM32>\taskkill.exe /f /im avguard.exe
<SYSTEM32>\taskkill.exe /f /im shed.exe
<SYSTEM32>\taskkill.exe /f /im avgnt.exe
<SYSTEM32>\taskkill.exe /f /im kpf4ss.exe
<SYSTEM32>\taskkill.exe /f /im mpfconsole.exe
<SYSTEM32>\taskkill.exe /f /im mpfagent.exe
<SYSTEM32>\taskkill.exe /f /im mpfservice.exe
<SYSTEM32>\taskkill.exe /f /im mpfwizard.exe
<SYSTEM32>\taskkill.exe /f /im mpftray.exe
<SYSTEM32>\taskkill.exe /f /im oasclnt.exe
<SYSTEM32>\taskkill.exe /f /im mcdetect.exe
<SYSTEM32>\taskkill.exe /f /im mcdash.exe
<SYSTEM32>\taskkill.exe /f /im mcregwiz.exe
<SYSTEM32>\taskkill.exe /f /im mghtml.exe
<SYSTEM32>\taskkill.exe /f /im mcinfo.exe

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: C:\ntdtcstp.dll

Завершает или пытается завершить

следующие пользовательские процессы:

AVP.EXE
AVGCTRL.EXE
AVGCC32.EXE
AVP32.EXE
AVSYNMGR.EXE
AVPM.EXE
AVPCC.EXE
mpftray.exe
GUARD.EXE
avgcc.exe
nod32.exe
outpost.exe
ccapp.exe
zlclient.exe
ZONEALARM.EXE

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass' WindowName: ''
ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'FilemonClass' WindowName: ''
ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\RestorePointSize
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\rp.log
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\RestorePointSize
%HOMEPATH%\Recent\PQAAAJ4HOH1yqA5nuQ_-UTI1ZR-VC835yDQtWIiUh1hZhfpoTqXkg5Nmhq1kAhcpjUjbyYrnmdpDPl-pYwoKVn8DwlIAm1T1UAu3bj5N77NTjZBcYskCeqppCknN.lnk
%HOMEPATH%\Recent\Local Disk (C).lnk
C:\cmsetac.dll
C:\ntdtcstp.dll
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\rp.log
C:\PQAAAJ4HOH1yqA5nuQ_-UTI1ZR-VC835yDQtWIiUh1hZhfpoTqXkg5Nmhq1kAhcpjUjbyYrnmdpDPl-pYwoKVn8DwlIAm1T1UAu3bj5N77NTjZBcYskCeqppCknN.jpg
C:\Server.exe
C:\Super_Kill.bat
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\rp.log
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\RestorePointSize
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\rp.log
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\RestorePointSize

Сетевая активность:

Подключается к:

'my####er.no-ip.org':15963

UDP:

DNS ASK my####er.no-ip.org

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней