Trojan.KeyLogger.18502

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bpk' = '<SYSTEM32>\bpk.exe'

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\bpk.exe
%TEMP%\RarSFX0\game_y.exe
%TEMP%\RarSFX0\rinst.exe

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: <SYSTEM32>\bpkhk.dll

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\dt\2012-10-23_01-46-37-357812
<SYSTEM32>\dt\th_2012-10-23_01-46-35-355859
<SYSTEM32>\dt\2012-10-23_01-46-35-355859
<SYSTEM32>\dt\th_2012-10-23_01-46-39-359875
<SYSTEM32>\dt\2012-10-23_01-46-39-359875
<SYSTEM32>\dt\th_2012-10-23_01-46-37-357812
<SYSTEM32>\dt\th_2012-10-23_01-46-33-353828
<SYSTEM32>\dt\th_2012-10-23_01-46-29-349781
<SYSTEM32>\dt\2012-10-23_01-46-29-349781
<SYSTEM32>\dt\th_2012-10-23_01-46-27-347812
<SYSTEM32>\dt\2012-10-23_01-46-33-353828
<SYSTEM32>\dt\th_2012-10-23_01-46-31-351796
<SYSTEM32>\dt\2012-10-23_01-46-31-351796
<SYSTEM32>\dt\th_2012-10-23_01-46-49-369875
<SYSTEM32>\dt\2012-10-23_01-46-49-369875
<SYSTEM32>\dt\th_2012-10-23_01-46-47-367921
<SYSTEM32>\dt\2012-10-23_01-46-53-373937
<SYSTEM32>\dt\th_2012-10-23_01-46-51-371890
<SYSTEM32>\dt\2012-10-23_01-46-51-371890
<SYSTEM32>\dt\2012-10-23_01-46-47-367921
<SYSTEM32>\dt\2012-10-23_01-46-43-363859
<SYSTEM32>\dt\th_2012-10-23_01-46-41-361875
<SYSTEM32>\dt\2012-10-23_01-46-41-361875
<SYSTEM32>\dt\th_2012-10-23_01-46-45-365843
<SYSTEM32>\dt\2012-10-23_01-46-45-365843
<SYSTEM32>\dt\th_2012-10-23_01-46-43-363859
<SYSTEM32>\dt\2012-10-23_01-46-11-331671
<SYSTEM32>\dt\th_2012-10-23_01-46-09-329968
<SYSTEM32>\dt\2012-10-23_01-46-09-329968
<SYSTEM32>\dt\th_2012-10-23_01-46-13-333671
<SYSTEM32>\dt\2012-10-23_01-46-13-333671
<SYSTEM32>\dt\th_2012-10-23_01-46-11-331671
<SYSTEM32>\dt\th_2012-10-23_01-46-07-327734
<SYSTEM32>\dt\th_2012-10-23_01-46-03-323796
<SYSTEM32>\dt\2012-10-23_01-46-03-323796
<SYSTEM32>\dt\th_2012-10-23_01-46-01-321578
<SYSTEM32>\dt\2012-10-23_01-46-07-327734
<SYSTEM32>\dt\th_2012-10-23_01-46-05-325671
<SYSTEM32>\dt\2012-10-23_01-46-05-325671
<SYSTEM32>\dt\th_2012-10-23_01-46-23-343718
<SYSTEM32>\dt\2012-10-23_01-46-23-343718
<SYSTEM32>\dt\th_2012-10-23_01-46-21-341671
<SYSTEM32>\dt\2012-10-23_01-46-27-347812
<SYSTEM32>\dt\th_2012-10-23_01-46-25-345750
<SYSTEM32>\dt\2012-10-23_01-46-25-345750
<SYSTEM32>\dt\2012-10-23_01-46-21-341671
<SYSTEM32>\dt\2012-10-23_01-46-17-337640
<SYSTEM32>\dt\th_2012-10-23_01-46-15-335687
<SYSTEM32>\dt\2012-10-23_01-46-15-335687
<SYSTEM32>\dt\th_2012-10-23_01-46-19-339687
<SYSTEM32>\dt\2012-10-23_01-46-19-339687
<SYSTEM32>\dt\th_2012-10-23_01-46-17-337640
<SYSTEM32>\dt\th_2012-10-23_01-46-53-373937
<SYSTEM32>\dt\th_2012-10-23_01-47-33-413703
<SYSTEM32>\dt\2012-10-23_01-47-33-413703
<SYSTEM32>\dt\th_2012-10-23_01-47-31-411828
<SYSTEM32>\dt\2012-10-23_01-47-37-422156
<SYSTEM32>\dt\th_2012-10-23_01-47-35-416187
<SYSTEM32>\dt\2012-10-23_01-47-35-416187
<SYSTEM32>\dt\2012-10-23_01-47-31-411828
<SYSTEM32>\dt\2012-10-23_01-47-27-407781
<SYSTEM32>\dt\th_2012-10-23_01-47-25-406000
<SYSTEM32>\dt\2012-10-23_01-47-25-406000
<SYSTEM32>\dt\th_2012-10-23_01-47-29-409796
<SYSTEM32>\dt\2012-10-23_01-47-29-409796
<SYSTEM32>\dt\th_2012-10-23_01-47-27-407781
<SYSTEM32>\dt\2012-10-23_01-47-53-433671
<SYSTEM32>\dt\th_2012-10-23_01-47-51-431765
<SYSTEM32>\dt\2012-10-23_01-47-51-431765
<SYSTEM32>\dt\th_2012-10-23_01-47-55-435656
<SYSTEM32>\dt\2012-10-23_01-47-55-435656
<SYSTEM32>\dt\th_2012-10-23_01-47-53-433671
<SYSTEM32>\dt\th_2012-10-23_01-47-49-430203
<SYSTEM32>\dt\th_2012-10-23_01-47-43-424609
<SYSTEM32>\dt\2012-10-23_01-47-43-424609
<SYSTEM32>\dt\th_2012-10-23_01-47-37-422156
<SYSTEM32>\dt\2012-10-23_01-47-49-430203
<SYSTEM32>\dt\th_2012-10-23_01-47-47-428281
<SYSTEM32>\dt\2012-10-23_01-47-47-428281
<SYSTEM32>\dt\th_2012-10-23_01-47-03-383812
<SYSTEM32>\dt\2012-10-23_01-47-03-383812
<SYSTEM32>\dt\th_2012-10-23_01-47-01-381906
<SYSTEM32>\dt\2012-10-23_01-47-07-387781
<SYSTEM32>\dt\th_2012-10-23_01-47-05-386312
<SYSTEM32>\dt\2012-10-23_01-47-05-386312
<SYSTEM32>\dt\2012-10-23_01-47-01-381906
<SYSTEM32>\dt\2012-10-23_01-46-57-377859
<SYSTEM32>\dt\th_2012-10-23_01-46-55-376171
<SYSTEM32>\dt\2012-10-23_01-46-55-376171
<SYSTEM32>\dt\th_2012-10-23_01-46-59-379937
<SYSTEM32>\dt\2012-10-23_01-46-59-379937
<SYSTEM32>\dt\th_2012-10-23_01-46-57-377859
<SYSTEM32>\dt\2012-10-23_01-47-21-401875
<SYSTEM32>\dt\th_2012-10-23_01-47-19-399812
<SYSTEM32>\dt\2012-10-23_01-47-19-399812
<SYSTEM32>\dt\th_2012-10-23_01-47-23-404000
<SYSTEM32>\dt\2012-10-23_01-47-23-404000
<SYSTEM32>\dt\th_2012-10-23_01-47-21-401875
<SYSTEM32>\dt\th_2012-10-23_01-47-17-397843
<SYSTEM32>\dt\th_2012-10-23_01-47-13-394125
<SYSTEM32>\dt\2012-10-23_01-47-13-394125
<SYSTEM32>\dt\th_2012-10-23_01-47-07-387781
<SYSTEM32>\dt\2012-10-23_01-47-17-397843
<SYSTEM32>\dt\th_2012-10-23_01-47-15-395921
<SYSTEM32>\dt\2012-10-23_01-47-15-395921
<SYSTEM32>\dt\th_2012-10-23_01-44-49-249625
<SYSTEM32>\dt\2012-10-23_01-44-49-249625
<SYSTEM32>\dt\th_2012-10-23_01-44-47-247718
<SYSTEM32>\dt\2012-10-23_01-44-53-253640
<SYSTEM32>\dt\th_2012-10-23_01-44-51-252031
<SYSTEM32>\dt\2012-10-23_01-44-51-252031
<SYSTEM32>\dt\2012-10-23_01-44-47-247718
<SYSTEM32>\dt\2012-10-23_01-44-41-241468
<SYSTEM32>\dt\th_2012-10-23_01-44-39-239468
<SYSTEM32>\dt\2012-10-23_01-44-39-239468
<SYSTEM32>\dt\th_2012-10-23_01-44-43-245546
<SYSTEM32>\dt\2012-10-23_01-44-43-245546
<SYSTEM32>\dt\th_2012-10-23_01-44-41-241468
<SYSTEM32>\dt\2012-10-23_01-45-03-263546
<SYSTEM32>\dt\th_2012-10-23_01-45-01-261562
<SYSTEM32>\dt\2012-10-23_01-45-01-261562
<SYSTEM32>\dt\th_2012-10-23_01-45-05-265687
<SYSTEM32>\dt\2012-10-23_01-45-05-265687
<SYSTEM32>\dt\th_2012-10-23_01-45-03-263546
<SYSTEM32>\dt\th_2012-10-23_01-44-59-259515
<SYSTEM32>\dt\th_2012-10-23_01-44-55-255609
<SYSTEM32>\dt\2012-10-23_01-44-55-255609
<SYSTEM32>\dt\th_2012-10-23_01-44-53-253640
<SYSTEM32>\dt\2012-10-23_01-44-59-259515
<SYSTEM32>\dt\th_2012-10-23_01-44-57-257484
<SYSTEM32>\dt\2012-10-23_01-44-57-257484
<SYSTEM32>\bpk.exe
<SYSTEM32>\pk.bin
%TEMP%\RarSFX0\rinst.exe
<SYSTEM32>\bpkwb.dll
<SYSTEM32>\mc.dat
<SYSTEM32>\bpkhk.dll
%TEMP%\RarSFX0\game_y.exe
%TEMP%\RarSFX0\mc.dat
%TEMP%\RarSFX0\inst.dat
%TEMP%\RarSFX0\pk.bin
%TEMP%\RarSFX0\bpk.exe
%TEMP%\RarSFX0\bpkhk.dll
%TEMP%\RarSFX0\bpkwb.dll
<SYSTEM32>\dt\2012-10-23_01-44-35-235453
<SYSTEM32>\dt\th_2012-10-23_01-44-33-233484
<SYSTEM32>\dt\2012-10-23_01-44-33-233484
<SYSTEM32>\dt\th_2012-10-23_01-44-37-237859
<SYSTEM32>\dt\2012-10-23_01-44-37-237859
<SYSTEM32>\dt\th_2012-10-23_01-44-35-235453
<SYSTEM32>\dt\th_2012-10-23_01-44-29-230328
<SYSTEM32>\rinst.exe
<SYSTEM32>\inst.dat
<SYSTEM32>\dt\2012-10-23_01-44-29-230328
<SYSTEM32>\th_temp.bmp
<SYSTEM32>\temporary.bmp
<SYSTEM32>\dt\2012-10-23_01-45-07-267593
<SYSTEM32>\dt\2012-10-23_01-45-43-303812
<SYSTEM32>\dt\th_2012-10-23_01-45-41-301625
<SYSTEM32>\dt\2012-10-23_01-45-41-301625
<SYSTEM32>\dt\th_2012-10-23_01-45-45-305609
<SYSTEM32>\dt\2012-10-23_01-45-45-305609
<SYSTEM32>\dt\th_2012-10-23_01-45-43-303812
<SYSTEM32>\dt\th_2012-10-23_01-45-39-299609
<SYSTEM32>\dt\th_2012-10-23_01-45-35-295765
<SYSTEM32>\dt\2012-10-23_01-45-35-295765
<SYSTEM32>\dt\th_2012-10-23_01-45-33-293671
<SYSTEM32>\dt\2012-10-23_01-45-39-299609
<SYSTEM32>\dt\th_2012-10-23_01-45-37-297734
<SYSTEM32>\dt\2012-10-23_01-45-37-297734
<SYSTEM32>\dt\th_2012-10-23_01-45-57-317578
<SYSTEM32>\dt\2012-10-23_01-45-57-317578
<SYSTEM32>\dt\th_2012-10-23_01-45-55-315671
<SYSTEM32>\dt\2012-10-23_01-46-01-321578
<SYSTEM32>\dt\th_2012-10-23_01-45-59-320203
<SYSTEM32>\dt\2012-10-23_01-45-59-320203
<SYSTEM32>\dt\2012-10-23_01-45-55-315671
<SYSTEM32>\dt\2012-10-23_01-45-51-311734
<SYSTEM32>\dt\th_2012-10-23_01-45-47-307609
<SYSTEM32>\dt\2012-10-23_01-45-47-307609
<SYSTEM32>\dt\th_2012-10-23_01-45-53-313609
<SYSTEM32>\dt\2012-10-23_01-45-53-313609
<SYSTEM32>\dt\th_2012-10-23_01-45-51-311734
<SYSTEM32>\dt\2012-10-23_01-45-17-277671
<SYSTEM32>\dt\th_2012-10-23_01-45-15-275515
<SYSTEM32>\dt\2012-10-23_01-45-15-275515
<SYSTEM32>\dt\th_2012-10-23_01-45-19-279500
<SYSTEM32>\dt\2012-10-23_01-45-19-279500
<SYSTEM32>\dt\th_2012-10-23_01-45-17-277671
<SYSTEM32>\dt\th_2012-10-23_01-45-13-273515
<SYSTEM32>\dt\th_2012-10-23_01-45-09-269515
<SYSTEM32>\dt\2012-10-23_01-45-09-269515
<SYSTEM32>\dt\th_2012-10-23_01-45-07-267593
<SYSTEM32>\dt\2012-10-23_01-45-13-273515
<SYSTEM32>\dt\th_2012-10-23_01-45-11-271562
<SYSTEM32>\dt\2012-10-23_01-45-11-271562
<SYSTEM32>\dt\th_2012-10-23_01-45-29-289734
<SYSTEM32>\dt\2012-10-23_01-45-29-289734
<SYSTEM32>\dt\th_2012-10-23_01-45-27-287703
<SYSTEM32>\dt\2012-10-23_01-45-33-293671
<SYSTEM32>\dt\th_2012-10-23_01-45-31-291656
<SYSTEM32>\dt\2012-10-23_01-45-31-291656
<SYSTEM32>\dt\2012-10-23_01-45-27-287703
<SYSTEM32>\dt\2012-10-23_01-45-23-283593
<SYSTEM32>\dt\th_2012-10-23_01-45-21-281703
<SYSTEM32>\dt\2012-10-23_01-45-21-281703
<SYSTEM32>\dt\th_2012-10-23_01-45-25-285671
<SYSTEM32>\dt\2012-10-23_01-45-25-285671
<SYSTEM32>\dt\th_2012-10-23_01-45-23-283593

Удаляет следующие файлы:

%TEMP%\RarSFX0\rinst.exe
%TEMP%\RarSFX0\inst.dat
%TEMP%\RarSFX0\game_y.exe
<SYSTEM32>\th_temp.bmp
<SYSTEM32>\temporary.bmp
%TEMP%\RarSFX0\bpk.exe
%TEMP%\RarSFX0\pk.bin
%TEMP%\RarSFX0\bpkhk.dll
%TEMP%\RarSFX0\bpkwb.dll
%TEMP%\RarSFX0\mc.dat

Перемещает следующие файлы:

<SYSTEM32>\rinst.exe в <SYSTEM32>\bpkr.exe

Сетевая активность:

Подключается к:

'74.##5.232.51':25

UDP:

DNS ASK gs####83.google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'PKL Window'
ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней