Trojan.KeyLogger.20441

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\MSWinIsmSys] 'Logon' = 'CC_MSWinLeventMngment_1'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\MSWinIsmSys] 'DllName' = '<SYSTEM32>\dMSCUSB_Dx_ComCtrl32.dll'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Windows Installable Resource Access Services] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' = '%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe:*:Enabled:Microsoft Dynamic Resource Server'

Создает и запускает на исполнение:

'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' runni
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' ddi
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' run
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' gui
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' start
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' infn
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' topaz1
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' isadmin
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' ten10
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' psr1
'%CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe' psr

Запускает на исполнение:

'<SYSTEM32>\runonce.exe' -r
'%WINDIR%\regedit.exe' /S "%CommonProgramFiles%\MICROS~2\dpdrvmocpr.reg"
'%WINDIR%\regedit.exe' /S "%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.reg"

Внедряет код в

следующие системные процессы:

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: %CommonProgramFiles%\MICROS~2\sMSCUSB_Dx_ComCtrl32.dll

Изменения в файловой системе:

Создает следующие файлы:

%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys
<SYSTEM32>\wisdeskdc1.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\sismhelper21.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\cspmc21.dll
<SYSTEM32>\dpdrvmocpr.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\uMSCUSB_Dx_ComCtrl32.exe
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.reg
<DRIVERS>\dpdrvmocpr.sys
%WINDIR%\inf\dpdrvmocpr.inf
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll.xp
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys.xp
%TEMP%\nsq2.tmp\System.dll
%TEMP%\nsq2.tmp\NSISArray.dll
%TEMP%\nsq2.tmp\UAC.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.inf
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys.2003
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\widmsis1.exe
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll.2003
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll.2000
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys.2000

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys.2003
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys.2000
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.sys.xp
%TEMP%\nsq2.tmp\UAC.dll
%TEMP%\nsq2.tmp\System.dll
%TEMP%\nsq2.tmp\NSISArray.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.reg
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\cMSCUSB_Dx_ComCtrl32.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll.2000
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.inf
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll.xp
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\dpdrvmocpr.dll.2003

Перемещает следующие файлы:

%CommonProgramFiles%\Microsoft Program Schema Cache Modules\cspmc21.dll в %CommonProgramFiles%\Microsoft Program Schema Cache Modules\cMSCUSB_Dx_ComCtrl32.dll
<SYSTEM32>\wisdeskdc1.dll в <SYSTEM32>\dMSCUSB_Dx_ComCtrl32.dll
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\widmsis1.exe в %CommonProgramFiles%\Microsoft Program Schema Cache Modules\wMSCUSB_Dx_ComCtrl32.exe
%CommonProgramFiles%\Microsoft Program Schema Cache Modules\sismhelper21.dll в %CommonProgramFiles%\Microsoft Program Schema Cache Modules\sMSCUSB_Dx_ComCtrl32.dll

Другое:

Ищет следующие окна: