Trojan.KeyLogger.15225

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe <SYSTEM32>\fservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{5Y99AE78-58TT-11dW-BE53-Y67078979Y}] 'StubPath' = '%WINDIR%\system\sservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'DirectX For Microsoft® Windows' = '<SYSTEM32>\fservice.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Создает и запускает на исполнение:

%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0xD01948B7A99CC0BE\NET.exe STOP navapsvc
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0xD01948B7A99CC0BE\NET.exe STOP srservice
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0xA9066DD9200C444C\net1.exe STOP srservice
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0xC22610D883785AB2\cmd.exe /c <SYSTEM32>\lncom.exe.bat
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0xA9066DD9200C444C\net1.exe STOP navapsvc
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0x4C0EA33E1951527D\lncom.exe
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0x07809433F2CF723B\binded_server.exe
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0xC22610D883785AB2\cmd.exe /c %HOMEPATH%\Desktop\binded_server.exe.bat
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0x4C0EA33E1951527D\services.exe -XP
%TEMP%\SPOON\CACHE\0x9F6B7574B50AC848\STUBEXE\0x4C0EA33E1951527D\fservice.exe

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\services.exe
%WINDIR%\system\sservice.exe
<SYSTEM32>\fservice.exe
<SYSTEM32>\lncom.exe.bat
<SYSTEM32>\reginv.dll
<SYSTEM32>\winkey.dll
<LS_APPDATA>\Spoon\Sandbox\PR VD\1.9.0.0\META\@DESKTOP@\binded_server.exe.__meta__.__tmp__
<SYSTEM32>\lncom.exe
<LS_APPDATA>\Spoon\Sandbox\PR VD\1.9.0.0\XSandbox.bin.__tmp__
%HOMEPATH%\Desktop\binded_server.exe.bat
%HOMEPATH%\Desktop\binded_server.pdf
<SYSTEM32>\lncom_.pdf

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

%WINDIR%\system\sservice.exe
<SYSTEM32>\lncom.exe
<SYSTEM32>\Restore\MachineGuid.txt
<LS_APPDATA>\Spoon\Sandbox\PR VD\1.9.0.0\META\@DESKTOP@\binded_server.exe.__meta__
<LS_APPDATA>\Spoon\Sandbox\PR VD\1.9.0.0\MODIFIED\@DESKTOP@\binded_server.exe
<SYSTEM32>\fservice.exe

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

www.yo###ite.comhttp://www.yoursite.com/cgi-bin/prorat.cgi?bi#########################################################################################################################################################################
www.ic#.com/friendship/email_thank_you.php?fo############################################################################################################################################################################

UDP: