Trojan.Fakealert.42381

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'hxypafac' = '"%WINDIR%\ygaxijod.exe"'

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\attrib.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE
<SYSTEM32>\cmd.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\alg.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\smss.exe
<SYSTEM32>\attrib.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\876ce205-cce6-43a6-a10f-3fa2421d9977
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\61b3ccc5-e848-482f-b70f-1ab28a89c363
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\c65fbfe8-c50a-4910-b754-c7e8fdd03330
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\1e0b8b64-33ee-4bca-bfcb-841c0f1ddade
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\1003e645-a3a0-4bd8-ae70-9a71ecf4f7e2
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\e2a287c5-83d3-4ec5-a12c-ae60091f6223
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\f8aeff16-f53f-4365-bb77-279ce165404f
%ALLUSERSPROFILE%\Application Data\xmunureq\ebiruhok.dat
%ALLUSERSPROFILE%\Application Data\ygygelyx\erdjkzyf.dat
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\535487df-dfb2-44a7-923b-98322e248a13
%ALLUSERSPROFILE%\Application Data\utijedof\akwdpqzg.dat
%ALLUSERSPROFILE%\Application Data\iqicakas\ilugemsl.dat
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\995bb083-6ee1-4277-879f-abd9cbcf74c8
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
%ALLUSERSPROFILE%\Application Data\tcusyhan\umehonuk.dat
%ALLUSERSPROFILE%\Application Data\Sun\umehonuk.bkp
%ALLUSERSPROFILE%\Application Data\tcusyhan\eqasajan.dat
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\e6623497-3610-49c1-8a71-141304edd3f0
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%ALLUSERSPROFILE%\Application Data\Sun\eqasajan.bkp
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\e06f952d-912f-4cb8-8461-1cc8c940cb68
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\784b766e-7c33-4f7f-b145-153ac745e8e3
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\dc9f93d0-e096-4706-8579-c57cebcf7271
%ALLUSERSPROFILE%\Application Data\tcusyhan\esumipaq.dat
%ALLUSERSPROFILE%\Application Data\tcusyhan\ngufyzyg.dat
%WINDIR%\ygaxijod.exe
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1