Trojan.AutoIt.663

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\24835726\GCHQSG~1.CMD %TEMP%\24835726\qcwnxds.aet'

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

regsvcs.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[HKCU\Software\RimArts\B2\Settings]
[HKCU\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
[HKCU\Software\FTPWare\COREFTP\Sites]

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%APPDATA%\mozilla\firefox\profiles.ini
%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%TEMP%\24835726\irwouggjkd.msc
%TEMP%\24835726\tvqipl.txt
%TEMP%\24835726\wtjlowi.dat
%TEMP%\24835726\cbtpmvrh.dll
%TEMP%\24835726\llelkaj.dll
%TEMP%\24835726\cguitcvv.log
%TEMP%\24835726\eplv.xls
%TEMP%\24835726\plug.cpl
%TEMP%\24835726\kmrpfs.xml
%TEMP%\24835726\saffcsxal.bmp
%TEMP%\24835726\wgwtvilr.pdf
%TEMP%\24835726\ndxh.dat
%TEMP%\24835726\bmaqabjlpk.pdf
%TEMP%\24835726\tssbbr.pdf
%TEMP%\24835726\ipmurs.ico
%TEMP%\24835726\ufkmn.icm
%TEMP%\24835726\ofhpdfhfpo.dll
%TEMP%\24835726\msshet.msc
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\24835726\cobxewjxw.pdf
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%TEMP%\regsvcs.exe
%HOMEPATH%\temp\irwouggjkd.msc
%TEMP%\24835726\ojjg.bmp
%TEMP%\24835726\nxfbpu.txt
%TEMP%\24835726\ouaaks.jpg
%TEMP%\24835726\ewhhs.mp3
%TEMP%\24835726\kxvhqpqja.txt
%TEMP%\24835726\qcdinwmfm.txt
%TEMP%\24835726\mobvln.mp3
%TEMP%\24835726\lgnsuqk.xls
%TEMP%\24835726\khqn.pdf
%TEMP%\24835726\kctqcc.ini
%TEMP%\24835726\swtjc.dat
%TEMP%\24835726\dxagvh.bmp
%TEMP%\24835726\ptuqgnsaoi.bmp
%TEMP%\24835726\sradrwnj.txt
%TEMP%\24835726\qpjfkbfsw.exe
%TEMP%\24835726\jgcsxljg.msc
%TEMP%\24835726\xpngnqst.ppt
%TEMP%\24835726\hhnk.dll
%TEMP%\24835726\xofh.jpg
%TEMP%\24835726\qfpdj.ini
%TEMP%\24835726\fcvdekhp.log
%TEMP%\24835726\rflccaloxu.log
%TEMP%\24835726\gargegwtb.ico
%TEMP%\24835726\bhkmdbqn.dll
%TEMP%\24835726\mlbnddd.jpg
%TEMP%\24835726\mgmnfds.docx
%TEMP%\24835726\grxuwhmvg.bin
%TEMP%\24835726\ulqxiqskoe.ini
%TEMP%\24835726\gchqsgbuw.cmd
%TEMP%\24835726\qcwnxds.aet
%TEMP%\24835726\qtrkirsr.ppt
%TEMP%\24835726\mdeahdb.ini
%TEMP%\24835726\ddlpnsc.ppt
%TEMP%\24835726\bvgnjd.icm
%TEMP%\24835726\ehqajenq.dll
%TEMP%\24835726\tfql.jpg
%TEMP%\24835726\nipohf.dll
%TEMP%\24835726\ggxvlw.mp3
%TEMP%\24835726\jendrth.jpg
%TEMP%\24835726\rebp.ppt
%TEMP%\24835726\lgtkafljuo.mp3
%TEMP%\24835726\umvnctxgef.docx
%TEMP%\24835726\bjsc.dat
%TEMP%\24835726\ugbxjdvhvl.ico
%TEMP%\24835726\qdjlbqo.xml
%TEMP%\24835726\sdej.jpg
%TEMP%\24835726\kpgououfq.xml
%TEMP%\24835726\nkqmkj.xls
%TEMP%\24835726\gjvrgvuqtu.dll
%TEMP%\24835726\mbjxecbw.txt
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol