Trojan.DownLoader9.37512

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\userdll.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\AppToService_FUSClient] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'<SYSTEM32>\ROMFUSClient.exe' /tray
'<SYSTEM32>\userdll.exe'
'<SYSTEM32>\ROMServer.exe'
'<DRIVERS>\lib.exe' /install "<SYSTEM32>\ROMServer.exe" /name:"FUSClient" /Directory:"<SYSTEM32>" /startup:a
'<DRIVERS>\lib.exe' /sys "<SYSTEM32>\ROMServer.exe" /Name:"FUSClient" /Directory:"<SYSTEM32>" /startup:a

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=2804
'<SYSTEM32>\net1.exe' -n 3 localhost
'<SYSTEM32>\net1.exe' /pid=3804
'<SYSTEM32>\net1.exe' /pid=3688
'<SYSTEM32>\net1.exe' /pid=3216
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d <SYSTEM32>\userinit.exe,<SYSTEM32>\userdll.exe /f
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
'<SYSTEM32>\ping.exe' /pid=2912
'<SYSTEM32>\reg.exe' import <SYSTEM32>\regedit.reg
'%WINDIR%\regedit.exe' /pid=3036
'<SYSTEM32>\net1.exe' import <SYSTEM32>\regedit.reg
'<SYSTEM32>\ping.exe' /pid=2736
'%WINDIR%\regedit.exe' /pid=2652
'%WINDIR%\regedit.exe' /pid=368
'<SYSTEM32>\ping.exe' start AppToservice_FUSClient
'<SYSTEM32>\net1.exe' /s <SYSTEM32>\regedit.reg
'<SYSTEM32>\reg.exe' /s <SYSTEM32>\regedit.reg
'<SYSTEM32>\ping.exe' import <SYSTEM32>\regedit.reg
'<SYSTEM32>\ping.exe' -n 3 localhost
'<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\Russian.lg
'<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\HookDrv.dll
'<SYSTEM32>\ping.exe' -n 127.0.0.1
'<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\ROMServer.exe
'<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\English.lg
'<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\AledensoftIpcServer.dll
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\Install.bat" "
'<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\ROMwln.dll
'<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\ROMFUSClient.exe
'<SYSTEM32>\net.exe' stop wscsvc
'<SYSTEM32>\sc.exe' config wscsvc start= disabled
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\userdll.bat" "
'<SYSTEM32>\net1.exe' stop wscsvc
'<SYSTEM32>\net1.exe' start AppToService_FUSClient
'%WINDIR%\regedit.exe' /s <SYSTEM32>\regedit.reg
'<SYSTEM32>\reg.exe' import <SYSTEM32>\regedit.reg
'<SYSTEM32>\netsh.exe' firewall add allowedprogram \System32\ROMServer.exe "Apps" enable
'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name= "App" dir=in action=allow program="<SYSTEM32>\ROMServer.exe" enable=yes