Trojan.Lucifer.4

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\piffile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\MSCFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\JSFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\regfile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\VBSFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\VBEFile\Shell\Open\Command] '' = ''
[<HKLM>\SOFTWARE\Classes\txtfile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\batfile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe C:\RECYCLER\NTDETECT.EXE'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CTFMON.EXE' = '%WINDIR%\svchost.exe'
[<HKLM>\SOFTWARE\Classes\cmdfile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\inifile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\inffile\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\htmlfile\shell\open\command] '' = ''

Заражает следующие исполняемые системные файлы:

<SYSTEM32>\notepad.exe
%WINDIR%\NOTEPAD.EXE
<SYSTEM32>\taskmgr.exe

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\notepad.exe файлом <SYSTEM32>\notepad.exe.new
<SYSTEM32>\dllcache\notepad.exe файлом <SYSTEM32>\dllcache\notepad.exe.new
%WINDIR%\NOTEPAD.EXE файлом %WINDIR%\notepad.exe.new
<SYSTEM32>\taskmgr.exe файлом <SYSTEM32>\taskmgr.exe.new
<SYSTEM32>\dllcache\taskmgr.exe файлом <SYSTEM32>\dllcache\taskmgr.exe.new

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

блокирует:

Компонент восстановления системы (SR)

Создает и запускает на исполнение:

%APPDATA%\winlogon.exe
%APPDATA%\services.exe

Запускает на исполнение:

<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\GPEDIT.MSC" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\attrib.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t reg_sz /d "www.go###e.com.mx" /f
<SYSTEM32>\reg.exe add "HKCU\VenoM.LucifeR.30093300933009330093\suriV" /v "Tu has sido derrotado de nuevo por VenoM" /d "Burn in Hell" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\del.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\Dxdiag.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\cmd.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\command.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 7 /t reg_sz /d "HiJackThis_v2.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 10 /t reg_sz /d "cmd.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 5 /t reg_sz /d "msconfig.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 6 /t reg_sz /d "regedit.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 13 /t reg_sz /d "integrator.exe.exe" /f
<SYSTEM32>\find.exe /i "metroflog" "<DRIVERS>\etc\hosts"
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 11 /t reg_sz /d "ibprocman.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 12 /t reg_sz /d "explorer.exe" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\notepad.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\attrib.exe +s +h "<SYSTEM32>"
<SYSTEM32>\attrib.exe +s +h "%WINDIR%\notepad.exe"
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\666.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\attrib.exe +h +s %WINDIR%
<SYSTEM32>\attrib.exe +s +h "%h:\System Volume Information\*.exe"
<SYSTEM32>\attrib.exe +s +h "%h:\System Volume Information"
<SYSTEM32>\attrib.exe +s +h "<SYSTEM32>\notepad.exe"
<SYSTEM32>\attrib.exe +s +h +r +a %h:\AutoruN.inf
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\taskkill.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\tskill.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\reg.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\regedit.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\VenoM.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\wordpad.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\HELPCTR.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\App Paths\MSCONFIG.exe" /v "" /t reg_sz /d "<DRIVERS>\etc\Proceso inactivo del sistema.com" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 5 /t reg_sz /d "taskmgr.exe" /f
<SYSTEM32>\attrib.exe -h -s -r -a "%APPDATA%\winlogon.exe"
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\System" /v DisableRegistryTools /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer" /v NoFind /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t reg_dword /d "1" /f
<SYSTEM32>\attrib.exe +s +h +r +a C:\AutoruN.inf
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer" /v NoFind /t reg_dword /d "1" /f
<SYSTEM32>\attrib.exe -r -s -h -a C:\AutoruN.inf
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer" /v NoFolderOptions /t reg_dword /d "1" /f
<SYSTEM32>\attrib.exe -s -h -r -a <Полный путь к вирусу>
<SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\windows\CurrentVersion\Run" /v CTFMON.EXE /t reg_sz /d "%WINDIR%\svchost.exe" /f
<SYSTEM32>\taskkill.exe /f /im Ad-Watch.EXE
<SYSTEM32>\attrib.exe +s +h "%APPDATA%\Micro$oft\desktop.log"
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\System" /v DisableRegistryTools /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer" /v NoFolderOptions /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows NT\CurrentVersion\winlogon" /v Shell /t reg_sz /d "Explorer.exe C:\RECYCLER\NTDETECT.EXE" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t reg_dword /d "1" /f
<SYSTEM32>\attrib.exe +s +h "C:\System Volume Information\*.exe"
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\windows NT\SystemRestore" /v DisableConfig /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\windows NT\SystemRestore" /v DisableSR /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer" /v DisallowRun /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t reg_dword /d "0" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 3 /t reg_sz /d "wordpad.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 4 /t reg_sz /d "rstrui.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 1 /t reg_sz /d "notepad.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer\DisallowRun" /v 2 /t reg_sz /d "HijackThis.exe" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d "0" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Explorer\Advanced" /v HideFileExt /t reg_dword /d "1" /f
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Explorer\Advanced" /v Hidden /t reg_dword /d "2" /f
<SYSTEM32>\attrib.exe +s +h "C:\System Volume Information"
<SYSTEM32>\ping.exe 127.0.0.1 -n 2
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer" /v NoPropertiesMyComputer /t reg_dword /d "1" /f
<SYSTEM32>\find.exe /i "ShelL\OpeN\CommanD=SystemаVolumeаInformation\LucifeR.exe 666" "C:\AutoruN.inf"
<SYSTEM32>\reg.exe add "HKCU\SOFTWARE\Microsoft\windows\CurrentVersion\Policies\Explorer" /v NoRecycleFiles /t reg_dword /d "1" /f

Внедряет код в

следующие системные процессы:

<SYSTEM32>\wbem\wmiprvse.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoFolderOptions' = '00000001'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer] 'NoFind' = '00000001'

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Micro$oft\desktop.inf
<SYSTEM32>\dllcache\taskmgr.exe.new
%HOMEPATH%\Datos de programa.exe
C:\AutoruN.inf
<SYSTEM32>\taskmgr.exe.new
C:\System Volume Information\LucifeR.exe
%WINDIR%\notepad.exe.new
<SYSTEM32>\notepad.exe.new
<SYSTEM32>\dllcache\notepad.exe.new
%WINDIR%.EXE
<DRIVERS>\etc.exe
<SYSTEM32>.exe
%WINDIR%\svchost.exe
C:\RECYCLER\NTDETECT.EXE
<DRIVERS>\etc\Proceso inactivo del sistema.com
%TEMP%\bt34316.bat
%WINDIR%\system\COM30093.DLL
%APPDATA%\Micro$oft\desktop.log
%TEMP%\bt44202.bat
%WINDIR%\system\COM30129.DLL
%APPDATA%\Micro$oft\.exe
%APPDATA%\services.exe
%APPDATA%\winlogon.exe
%TEMP%\bt64500.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\bt44202.bat
C:\AutoruN.inf
C:\System Volume Information\LucifeR.exe
%TEMP%\bt34316.bat
%APPDATA%\Micro$oft\desktop.log
%TEMP%\bt64500.bat

Удаляет следующие файлы:

%TEMP%\bt64500.bat

Другое:

Ищет следующие окна:

ClassName: '' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней