Trojan.Fakealert.14295

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,"%ProgramFiles(x86)%\Def Group\PC Defender\Antispyware.exe"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\pcdefendersilentsetup.msi
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\scan_progress_bg_left[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\scan_progress_bg[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\scan_progress_bg_right[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\spider[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\buy_fullv_bg_left[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\buy_fullv_bg[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\start_button[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\update_now_button_red[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\stop_button[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\select_all_button[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\unselect_all_button[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\clean_button[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\fix_button[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\save_button_red[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\scan_progress_fill_bg_right[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\buy_fullv_bg_right[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\scan_progress_fill_bg[1]
C:\users\public\desktop\pc defender.lnk
%ProgramFiles(x86)%\def group\pc defender\proccheck.exe
%ProgramFiles(x86)%\def group\pc defender\antispyware.exe
%ProgramFiles(x86)%\def group\pc defender\hook.dll
%WINDIR%\installer\{fc2abc8e-3715-4a32-b8b5-559380f45282}\_966cd4ed37489844400d0c.exe
%WINDIR%\installer\{fc2abc8e-3715-4a32-b8b5-559380f45282}\_3f16219b047cf8432b7ada.exe
%PROGRAMDATA%\microsoft\windows\start menu\programs\pc defender\pc defender.lnk
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\106[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\exclamation_mark[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\common_html_init[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\main_window_background[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\button_scan[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\button_report[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\button_scheduler[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\button_update[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\scan_progress_fill_bg_left[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\button_scan_selected[1]

Удаляет следующие файлы

%TEMP%\rarsfx0\pcdefendersilentsetup.msi

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\def group\pc defender\antispyware.exe'
'%ProgramFiles(x86)%\def group\pc defender\proccheck.exe' Antispyware.exe
'%ProgramFiles(x86)%\def group\pc defender\proccheck.exe' Antispyware.exe' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\RarSFX0\PCDefenderSilentSetup.msi"
'%WINDIR%\syswow64\reg.exe' COPY HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\E8CBA2CF517323A48B5B5539084F2528 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\E8CBA2CF517323A48B5B5539084F2528_ /s /f
'%WINDIR%\syswow64\reg.exe' DELETE HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\E8CBA2CF517323A48B5B5539084F2528 /f