Trojan.Gozi.1000

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\repeat_<Имя файла>_user

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\RunMeSvc] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\RunMeSvc] 'ImagePath' = '%WINDIR%\SysWOW64\rmsvc.exe'
[HKLM\System\CurrentControlSet\Services\ProcessHelperSvc] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\ProcessHelperSvc] 'ImagePath' = '%WINDIR%\SysWOW64\ProcessHelper.exe'

Создает следующие сервисы

'RunMeSvc' %WINDIR%\SysWOW64\rmsvc.exe
'ProcessHelperSvc' %WINDIR%\SysWOW64\ProcessHelper.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM SystemAuditClient.exe
'%WINDIR%\syswow64\taskkill.exe' /F /IM rmsvc.exe /IM RunMe.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\sdelete.exe
<Текущая директория>\tools\api-ms-win-crt-utility-l1-1-0.dll
<Текущая директория>\tools\ucrtbase.dll
<Текущая директория>\tools\libcrypto-1_1.dll
<Текущая директория>\tools\libeay32.dll
<Текущая директория>\tools\libssl-1_1.dll
<Текущая директория>\tools\ssleay32.dll
<Текущая директория>\tools\pdfium.dll
<Текущая директория>\tools\api-ms-win-core-processthreads-l1-1-1.dll
<Текущая директория>\tools\encryptfile.exe
%WINDIR%\help\runme.dat
%TEMP%\rmsvc.user.log
%WINDIR%\temp\rmsvc.system.log
%WINDIR%\help\agm01f01.hlp
D:\{2007d07e-3574-4e26-81e0-759ab52fd301}\agm01f01.hlp
<Текущая директория>\~no_client.tmp
%WINDIR%\syswow64\processhelper.exe
<Текущая директория>\tools\api-ms-win-crt-string-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-time-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-stdio-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-runtime-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-multibyte-l1-1-0.dll
<Текущая директория>\tools\msvcr100.dll
<Текущая директория>\tools\msvcr120.dll
<Текущая директория>\tools\msvcp120.dll
<Текущая директория>\tools\msvcp140.dll
<Текущая директория>\tools\vcruntime140.dll
<Текущая директория>\tools\api-ms-win-core-file-l1-2-0.dll
<Текущая директория>\tools\api-ms-win-core-file-l2-1-0.dll
%TEMP%\smartctl.exe
%WINDIR%\syswow64\rmsvc.exe
<Текущая директория>\tools\api-ms-win-core-localization-l1-2-0.dll
<Текущая директория>\tools\api-ms-win-core-timezone-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-convert-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-environment-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-filesystem-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-heap-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-locale-l1-1-0.dll
<Текущая директория>\tools\api-ms-win-crt-math-l1-1-0.dll
%TEMP%\movefile.exe
<Текущая директория>\tools\api-ms-win-core-synch-l1-2-0.dll
<Текущая директория>\localcheck\policy\localstatus.flag

Присваивает атрибут 'скрытый' для следующих файлов

D:\{2007d07e-3574-4e26-81e0-759ab52fd301}\agm01f01.hlp

Удаляет следующие файлы

D:\{2007d07e-3574-4e26-81e0-759ab52fd301}\agm01f01.hlp

Подменяет следующие файлы

D:\{2007d07e-3574-4e26-81e0-759ab52fd301}\agm01f01.hlp

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: '' WindowName: 'doc2txt.exe'
ClassName: '' WindowName: 'a2tcmd.exe'
ClassName: '' WindowName: 'Application Error'
ClassName: '' WindowName: 'DFF5D33592BA33A458.TMP'
ClassName: '' WindowName: 'ocr.exe - 应用程序错误'
ClassName: '' WindowName: 'Microsoft Visual C++ Runtime Library'

Создает и запускает на исполнение

'%WINDIR%\syswow64\rmsvc.exe' /Install /Silent
'%WINDIR%\syswow64\rmsvc.exe'
'%WINDIR%\syswow64\processhelper.exe' /Install /Silent
'%WINDIR%\syswow64\processhelper.exe'
'%TEMP%\smartctl.exe' -i /dev/sda

Запускает на исполнение

'%WINDIR%\syswow64\schtasks.exe' /delete /F /tn "LOGON_<Имя файла>_user" (со скрытым окном)
'%WINDIR%\syswow64\net.exe' start RunMeSvc (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' start RunMeSvc
'%WINDIR%\syswow64\schtasks.exe' /create /F /tn "REPEAT_<Имя файла>_user" /tr "\"<Полный путь к файлу>"\" /sc MINUTE /mo 2 /RL HIGHEST (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /F /tn "LOGON_SystemAuditClient_user" (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /delete /F /tn "REPEAT_SystemAuditClient_user" (со скрытым окном)
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\syswow64\processhelper....
'%WINDIR%\syswow64\net.exe' start ProcessHelperSvc (со скрытым окном)
'%WINDIR%\syswow64\net1.exe' start ProcessHelperSvc
'%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\smartctl.exe" -i /dev/sda (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM SystemAuditClient.exe (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM rmsvc.exe /IM RunMe.exe (со скрытым окном)
'%WINDIR%\syswow64\rmsvc.exe' /Install /Silent (со скрытым окном)
'%WINDIR%\syswow64\processhelper.exe' /Install /Silent (со скрытым окном)