Trojan.Inject4.59404

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\regsvr32.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\avisynth\avisynth.dll
%TEMP%\rarsfx0\lav\libbluray.dll
%TEMP%\rarsfx0\lav\lavvideo.ax
%TEMP%\rarsfx0\lav\lavsplitter.ax
%TEMP%\rarsfx0\lav\lavaudio.ax
%TEMP%\rarsfx0\lav\intelquicksyncdecoder.dll
%TEMP%\rarsfx0\lav\avutil-lav-52.dll
%TEMP%\rarsfx0\lav\avresample-lav-1.dll
%TEMP%\rarsfx0\lav\avformat-lav-54.dll
%TEMP%\rarsfx0\lav\avfilter-lav-3.dll
%TEMP%\rarsfx0\lav\avcodec-lav-54.dll
%TEMP%\rarsfx0\haali\ts.dll
%TEMP%\rarsfx0\haali\splitter.ax
%TEMP%\rarsfx0\haali\ogm.dll
%TEMP%\rarsfx0\haali\mp4.dll
%TEMP%\rarsfx0\haali\mkzlib.dll
%TEMP%\rarsfx0\lav\swscale-lav-2.dll
%TEMP%\rarsfx0\presets\libvpx\libvpx-1080p.ffpreset
%TEMP%\rarsfx0\presets\libvpx\libvpx-1080p50_60.ffpreset
%TEMP%\rarsfx0\presets\libvpx\libvpx-360p.ffpreset
%TEMP%\rarsfx0\swresample-0.dll
%TEMP%\rarsfx0\set.ini
%TEMP%\rarsfx0\sdl.dll
%TEMP%\rarsfx0\postproc-52.dll
%TEMP%\rarsfx0\mediainfo.dll
%TEMP%\rarsfx0\dvddec.dll
%TEMP%\rarsfx0\dcrawlib.dll
%TEMP%\rarsfx0\avformat-54.dll
%TEMP%\rarsfx0\avutil-52.dll
%TEMP%\rarsfx0\avfilter-3.dll
%TEMP%\rarsfx0\avdevice-54.dll
%TEMP%\rarsfx0\avcodec-54.dll
%TEMP%\rarsfx0\presets\libx264\libx264-ipod640.ffpreset
%TEMP%\rarsfx0\presets\libx264\libx264-ipod320.ffpreset
%TEMP%\rarsfx0\presets\libvpx\libvpx-720p50_60.ffpreset
%TEMP%\rarsfx0\presets\libvpx\libvpx-720p.ffpreset
%TEMP%\rarsfx0\swscale-2.dll
%TEMP%\rarsfx0\haali\mkx.dll
%TEMP%\rarsfx0\haali\mkunicode.dll
%TEMP%\rarsfx0\haali\dxr.dll
%TEMP%\rarsfx0\dvdauthor\empty_pal_ac3.mpg
%TEMP%\rarsfx0\dvdauthor\empty_ntsc_ac3.mpg
%TEMP%\rarsfx0\dvdauthor\dvdauthor.xml
%TEMP%\rarsfx0\dvdauthor\dvdauthor.exe
%TEMP%\rarsfx0\bin\mkisofs.exe
%TEMP%\rarsfx0\bin\growisofs.exe
%TEMP%\rarsfx0\bin\dvd+rw-mediainfo.exe
%TEMP%\rarsfx0\bin\dvd+rw-format.exe
%TEMP%\rarsfx0\avisynth\plugins\vsfilter.dll
%TEMP%\rarsfx0\avisynth\plugins\tcpdeliver.dll
%TEMP%\rarsfx0\avisynth\plugins\directshowsource.dll
%TEMP%\rarsfx0\avisynth\plugins\colors_rgb.avsi
%TEMP%\rarsfx0\avisynth\plugins\avss.dll
%TEMP%\rarsfx0\avisynth\msvcp60.dll
%TEMP%\rarsfx0\avisynth\devil.dll
%TEMP%\rarsfx0\dvdauthor\libfreetype-6.dll
%TEMP%\rarsfx0\dvdauthor\libfribidi-0.dll
%TEMP%\rarsfx0\dvdauthor\libiconv-2.dll
%TEMP%\rarsfx0\dvdauthor\libpng-3.dll
%TEMP%\rarsfx0\haali\avi.dll
%TEMP%\rarsfx0\dvdauthor\zlib1.dll
%TEMP%\rarsfx0\dvdauthor\zlib.dll
%TEMP%\rarsfx0\dvdauthor\tcmplex.exe
%TEMP%\rarsfx0\dvdauthor\spumux.exe
%TEMP%\rarsfx0\dvdauthor\png2yuv.exe
%TEMP%\rarsfx0\dvdauthor\msvcrt.dll
%TEMP%\rarsfx0\dvdauthor\mplex.exe
%TEMP%\rarsfx0\dvdauthor\msvcp60.dll
%TEMP%\rarsfx0\dvdauthor\mpeg2enc.exe
%TEMP%\rarsfx0\dvdauthor\menu_4_pal.mpg
%TEMP%\rarsfx0\dvdauthor\menu_4_ntsc.mpg
%TEMP%\rarsfx0\dvdauthor\menu_16_pal.mpg
%TEMP%\rarsfx0\dvdauthor\menu_16_ntsc.mpg
%TEMP%\rarsfx0\dvdauthor\libxml2-2.dll
%TEMP%\rarsfx0\dvdauthor\libpng12.dll
%TEMP%\rarsfx0\haali\avs.dll
%TEMP%\rarsfx0\vv.exe

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\vv.exe'
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\avi.dll" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\avs.dll" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\dxr.dll" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\mkx.dll" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\mp4.dll" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\ogm.dll" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\ts.dll" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\Haali\splitter.ax" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\LAV\LAVSplitter.ax" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\LAV\LAVAudio.ax" /silent' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' "%TEMP%\RarSFX0\LAV\LAVVideo.ax" /silent' (со скрытым окном)