Trojan.DownLoader25.46699

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'Microsoft Windows Manager' = '%WINDIR%\M-50507597923962795207695729342\winmgr.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'Microsoft Windows Manager' = '%WINDIR%\M-50507597923962795207695729342\winmgr.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Системный антивирус (Защитник Windows)

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\m-50507597923962795207695729342\winmgr.exe
%TEMP%\baqzifvdls.bat

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\m-50507597923962795207695729342\winmgr.exe

Самоудаляется.

Другое

Ищет следующие окна

ClassName: 'Hello' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\m-50507597923962795207695729342\winmgr.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\baqzifvdls.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\dashBorder_192.bmp", "<Имя диска съемного носителя>:\\_\dashBorder_192.bmp"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\000814251_video_01.avi", "<Имя диска съемного носителя>:\\_\000814251_video_01.avi"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\split.avi", "<Имя диска съемного носителя>:\\_\split.avi"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\delete.avi", "<Имя диска съемного носителя>:\\_\delete.avi"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\join.avi", "<Имя диска съемного носителя>:\\_\join.avi"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\contoso_1.cer", "<Имя диска съемного носителя>:\\_\contoso_1.cer"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\tileimage.bmp", "<Имя диска съемного носителя>:\\_\tileimage.bmp"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\toolbar.bmp", "<Имя диска съемного носителя>:\\_\toolbar.bmp"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\dashBorder_144.bmp", "<Имя диска съемного носителя>:\\_\dashBorder_144.bmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\baqzifvdls.bat" "
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\dashBorder_192.bmp", "<Имя диска съемного носителя>:\\_\dashBorder_192.bmp"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\000814251_video_01.avi", "<Имя диска съемного носителя>:\\_\000814251_video_01.avi"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\split.avi", "<Имя диска съемного носителя>:\\_\split.avi"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\delete.avi", "<Имя диска съемного носителя>:\\_\delete.avi"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\join.avi", "<Имя диска съемного носителя>:\\_\join.avi"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\contoso_1.cer", "<Имя диска съемного носителя>:\\_\contoso_1.cer"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\tileimage.bmp", "<Имя диска съемного носителя>:\\_\tileimage.bmp"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\toolbar.bmp", "<Имя диска съемного носителя>:\\_\toolbar.bmp"
'%WINDIR%\syswow64\cmd.exe' /c move /y "<Имя диска съемного носителя>:\\dashBorder_144.bmp", "<Имя диска съемного носителя>:\\_\dashBorder_144.bmp"