Trojan.Winlock.9846

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ipolugij' = '"%WINDIR%\yrlr\owuvagvb.exe"'

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\attrib.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\lsass.exe
<SYSTEM32>\services.exe
<SYSTEM32>\csrss.exe
<SYSTEM32>\dwwin.exe
<SYSTEM32>\drwtsn32.exe
<SYSTEM32>\alg.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\smss.exe
<SYSTEM32>\attrib.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\95d53529-8be2-452e-82cc-f018e1482db0
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\b96ffb18-940b-4d08-8875-8fa1b62982c5
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\84ce9f84-259c-4f70-a136-6d64895b0312
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\85550526-e283-493d-9afa-a2e87be64a1f
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\404048a1-5e44-4402-83ee-4b7fd9d7716c
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\ODMNKHA7\desktop.ini
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\50f38f4e-226e-4eb5-8717-ebcfbdf3dbae
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\cde64e64-4dfc-4cc7-9da0-040aa5d18c87
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\30Z9MM8M\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0JD6K7IH\desktop.ini
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\fdd052ea-3126-4bc4-92fa-31c19182c19b
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\H9SB3VN6\desktop.ini
%ALLUSERSPROFILE%\Application Data\tcusyhan\umehonuk.dat
%ALLUSERSPROFILE%\Application Data\Sun\umehonuk.bkp
%ALLUSERSPROFILE%\Application Data\tcusyhan\eqasajan.dat
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\ba53535a-fc41-42ae-83a2-a3c01dd0ebe5
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%ALLUSERSPROFILE%\Application Data\tcusyhan\esumipaq.dat
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\f092f405-5831-4726-9fe2-0455c8d1033d
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\b5ad69d5-4b88-477f-993d-11b09e4ce41a
%WINDIR%\yrlr\owuvagvb.exe
%ALLUSERSPROFILE%\Application Data\Sun\eqasajan.bkp
%ALLUSERSPROFILE%\Application Data\tcusyhan\ngufyzyg.dat
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\30Z9MM8M\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\ODMNKHA7\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0JD6K7IH\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\H9SB3VN6\desktop.ini

Сетевая активность:

Подключается к: