Trojan.KeyLogger.42444

Техническая информация

Вредоносные функции

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: <Текущая директория>\.trash\100dofhook.dll

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\scores.cab
<Текущая директория>\settings.dll
<Текущая директория>\vb.net.cmd
<Текущая директория>\initiate.cab
<Текущая директория>\.trash\load.reg
<Текущая директория>\.trash\100dofhook.dll
<Текущая директория>\.trash\force.exe
nul
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012020032920200330\index.dat

Удаляет следующие файлы

<Текущая директория>\initiate.cab
<Текущая директория>\settings.dll
<Текущая директория>\scores.cab

Сетевая активность

TCP

Запросы HTTP GET

http://xv##eos.com/?k=#######
http://st######s.xvideos-cdn.com/v-0cf0fe8794f/v3/js/static/console.js
http://st######s.xvideos-cdn.com/v-0cf0fe8794f/v3/js/static/dom.js
http://st######s.xvideos-cdn.com/v-0cf0fe8794f/v3/js/static/utils.js
http://st######s.xvideos-cdn.com/v-0cf0fe8794f/v3/js/static/cookies.js
http://st######s.xvideos-cdn.com/v-0cf0fe8794f/v3/js/skins/min/default.js
http://im####.xvideos-cdn.com/videos/thumbs169ll/23/8f/74/238f74923c6fdd08518c15dd5b6857c2/238f74923c6fdd08518c15dd5b6857c2.21.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/54/32/d7/5432d7c0531afb7c80ecb5d7e77e8cfe/5432d7c0531afb7c80ecb5d7e77e8cfe.10.jpg
http://st######s.xvideos-cdn.com/v3/js/skins/min/require.static.js
http://im####.xvideos-cdn.com/videos/thumbs169ll/2c/94/32/2c9432f24f57291c361449667c21c299/2c9432f24f57291c361449667c21c299.11.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/15/9c/f1/159cf13541aecfa7a156afec60167ccc/159cf13541aecfa7a156afec60167ccc.23.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/19/0f/b0/190fb00b5de330ef5c99a6800d65a730/190fb00b5de330ef5c99a6800d65a730.28.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/a5/5b/55/a55b55fa072039842f4788f24cac5721/a55b55fa072039842f4788f24cac5721.10.jpg
http://www.xv##eos.com/?k=#######
http://im####.xvideos-cdn.com/videos/thumbs169ll/51/4e/5a/514e5ac041ba87aced3be3bf0e1fabec/514e5ac041ba87aced3be3bf0e1fabec.6.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/f4/39/e2/f439e2f977d69a2d49dbb5e5d82ed62c/f439e2f977d69a2d49dbb5e5d82ed62c.3.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/53/7d/89/537d8945116d0700572a46c9e662cfc4/537d8945116d0700572a46c9e662cfc4.10.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/40/5e/b6/405eb6d11a5dc87245ea99cd5e9c1fc2/405eb6d11a5dc87245ea99cd5e9c1fc2.28.jpg
http://im####.xvideos-cdn.com/videos/thumbs169ll/91/1e/40/911e40f3c13513e16e6e6bc8dadb9be2/911e40f3c13513e16e6e6bc8dadb9be2.22.jpg
http://st######s.xvideos-cdn.com/v3/js/libs/jquery.min.js
http://st######s.xvideos-cdn.com/v-74afdd48e5c/v3/js/skins/min/default.footer.static.js
http://st######s.xvideos-cdn.com/v-f5d69cf2ef4/v3/img/flags/flat/flags-16.png
http://st######s.xvideos-cdn.com/v3/img/skins/default/xvideos.com.png
http://st######s.xvideos-cdn.com/v-52f84174520/v3/js/i18n/front/english.js
http://st######s.xvideos-cdn.com/v-02003261824/v3/fonts/skins/common/iconfont/iconfont.eot?oc####
http://st######s.xvideos-cdn.com/v-f5d69cf2ef4/v3/css/default/main.css
http://st######s.xvideos-cdn.com/v-774c46ac5fb/v3/js/skins/min/default.header.static.js
http://im####.xvideos-cdn.com/videos/thumbs169ll/1c/08/69/1c08698243eff91918381ba783b7b175/1c08698243eff91918381ba783b7b175.13.jpg
http://www.xv##eos.com/favicon.ico

'wo##grab.se':443

'cd######c.xvideos-cdn.com':443

UDP

DNS ASK google.com
DNS ASK wo##grab.se
DNS ASK xv##eos.com
DNS ASK st######s.xvideos-cdn.com
DNS ASK im####.xvideos-cdn.com
DNS ASK cd######c.xvideos-cdn.com
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'DDEMLMom' WindowName: ''
ClassName: 'IEFrame' WindowName: ''
ClassName: 'Static' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'TrayNotifyWnd' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\.trash\force.exe'

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /k "start /MIN vb.net.cmd"
'%WINDIR%\syswow64\cmd.exe' /K vb.net.cmd
'%WINDIR%\syswow64\reg.exe' DELETE HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /f
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v lock_mouse_left /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v lock_mouse_middle /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v lock_mouse_right /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v lock_mouse_double /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v lock_mouse_wheel /t REG_DWORD /d 1
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v lock_keyboard /t REG_DWORD /d 4
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v paassword_balloon /t REG_DWORD /d 0
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v paassword_setup /t REG_SZ /d 0001337000
'%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\100dof\kidkeylock\Setup /v paassword_quit /t REG_SZ /d ultimate1337
'%WINDIR%\syswow64\xcopy.exe' scores.cab .trash\load.reg*
'%WINDIR%\syswow64\xcopy.exe' settings.dll .trash\100dofhook.dll*
'%WINDIR%\syswow64\xcopy.exe' initiate.cab .trash\force.exe*
'%WINDIR%\syswow64\ping.exe' google.com /n 3