Trojan.ActualSpy.348

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'application' = '<SYSTEM32>\4100\ASMonitor.exe hs'

Вредоносные функции

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра

[HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\sessmgr.exe' = '<SYSTEM32>\sessmgr.exe:*:enabled:@xpsp2res.dl...
[HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\4100\ASMonitor.exe' = '<SYSTEM32>\4100\ASMonitor.exe:*:Enable...
[HKLM\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\sessmgr.exe' = '<SYSTEM32>\sessmgr.exe:*:enabled:@xpsp2res.dl...
[HKLM\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\4100\ASMonitor.exe' = '<SYSTEM32>\4100\ASMonitor.exe:*:Enable...
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\sessmgr.exe' = '<SYSTEM32>\sessmgr.exe:*:enabled:@xpsp2re...
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\4100\ASMonitor.exe' = '<SYSTEM32>\4100\ASMonitor.exe:*:En...

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\lk-49\crack.reg
<Текущая директория>\lk-49\data\terminology.jsx
<Текущая директория>\lk-49\data\statistics.jsx
<Текущая директория>\lk-49\data\startscreen.jsx
<Текущая директория>\lk-49\data\stacksupport.jsx
<Текущая директория>\lk-49\data\resize.jsx
<Текущая директория>\lk-49\data\print.jsx
<Текущая директория>\lk-49\data\polyclip.jsx
<Текущая директория>\lk-49\data\pmdialog.jsx
<Текущая директория>\lk-49\data\photomerge.jsx
<Текущая директория>\lk-49\data\m2hdr.jsx
<Текущая директория>\lk-49\data\loadlayers.jsx
<Текущая директория>\lk-49\data\latteui.jsx
<Текущая директория>\lk-49\data\imageprocessor.jsx
<Текущая директория>\lk-49\data\geometry.jsx
<Текущая директория>\lk-49\data\createimagestack.jsx
<Текущая директория>\lk-49\data\welcome.jsx
<Текущая директория>\install.bat

Присваивает атрибут 'скрытый' для следующих файлов

<Текущая директория>\lk-49\crack.reg

Удаляет следующие файлы

<Текущая директория>\lk-49\crack.reg

Перемещает следующие файлы

<Текущая директория>\lk-49\data\startscreen.jsx в %WINDIR%\syswow64\4100\readme.txt
<Текущая директория>\lk-49\data\statistics.jsx в %WINDIR%\syswow64\4100\asmonitor.exe
<Текущая директория>\lk-49\data\photomerge.jsx в %WINDIR%\syswow64\4100\asmonitor.exe.manifest
<Текущая директория>\lk-49\data\latteui.jsx в %WINDIR%\syswow64\4100\actualspy.chm
<Текущая директория>\lk-49\data\geometry.jsx в %WINDIR%\syswow64\4100\file_id.diz
<Текущая директория>\lk-49\data\createimagestack.jsx в %WINDIR%\syswow64\4100\hk.dll
<Текущая директория>\lk-49\data\stacksupport.jsx в %WINDIR%\syswow64\4100\hprog.dll
<Текущая директория>\lk-49\data\polyclip.jsx в %WINDIR%\syswow64\4100\libeay32.dll
<Текущая директория>\lk-49\data\terminology.jsx в %WINDIR%\syswow64\4100\license.txt
<Текущая директория>\lk-49\data\m2hdr.jsx в %WINDIR%\syswow64\4100\ssleay32.dll
<Текущая директория>\lk-49\data\loadlayers.jsx в %WINDIR%\syswow64\4100\unins000.dat
<Текущая директория>\lk-49\data\pmdialog.jsx в %WINDIR%\syswow64\4100\unins000.exe
<Текущая директория>\lk-49\data\resize.jsx в %WINDIR%\syswow64\4100\settings.exe
<Текущая директория>\lk-49\data\welcome.jsx в %WINDIR%\syswow64\4100\rights.bat
<Текущая директория>\lk-49\data\imageprocessor.jsx в %WINDIR%\syswow64\4100\f.bat
<Текущая директория>\lk-49\data\print.jsx в %WINDIR%\prefetch\asmonitor.exe-297034e0.pf