Trojan.KeyLogger.21243

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mstwain32' = '%TEMP%\server.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)
Редактора реестра (RegEdit)

Создает и запускает на исполнение:

'%TEMP%\server.exe' /pid=3036
'%TEMP%\server.exe'
'%TEMP%\X28.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore /v DisableRegistryTools /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\corinthians04-300x225.jpg
'<SYSTEM32>\reg.exe' /pid=3828
'<SYSTEM32>\reg.exe' /f /im AVENGINE.exe
'<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v VirusScan Online /f
'<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v CleanUp /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' /c reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v APVXDWIN /f
'<SYSTEM32>\reg.exe' /pid=380
'<SYSTEM32>\taskkill.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v APVXDWIN /f
'<SYSTEM32>\taskkill.exe' /pid=3796
'<SYSTEM32>\taskkill.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v MCAgentExe /f
'<SYSTEM32>\reg.exe' /f /im PsImSvc.exe
'<SYSTEM32>\reg.exe' /f /im psimreal.exe
'<SYSTEM32>\taskkill.exe' /pid=3912
'<SYSTEM32>\taskkill.exe' /c reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v CleanUp /f
'<SYSTEM32>\taskkill.exe' /c reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v MCUpdateExe /f
'<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v MCUpdateExe /f
'<SYSTEM32>\taskkill.exe' /f /im PsImSvc.exe
'<SYSTEM32>\taskkill.exe' /f /im psimreal.exe
'<SYSTEM32>\taskkill.exe' /f /im WebProxy.exe
'<SYSTEM32>\taskkill.exe' /f /im mcagent.exe
'<SYSTEM32>\net.exe' stop "Panda anti-virus service"
'<SYSTEM32>\taskkill.exe' /f /im ekrn.exe
'<SYSTEM32>\taskkill.exe' /f /im egui.exe
'<SYSTEM32>\taskkill.exe' /f /im ApVxdWin.exe
'<SYSTEM32>\taskkill.exe' /f /im pavsrv51.exe
'<SYSTEM32>\taskkill.exe' /f /im AVENGINE.exe
'<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v APVXDWIN /f
'<SYSTEM32>\taskkill.exe' /f /im McVSEscn.exe
'<SYSTEM32>\taskkill.exe' /f /im mcvsftsn.exe
'<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v McRegWiz /f
'<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ /v MCAgentExe /f
'<SYSTEM32>\taskkill.exe' /f /im mghtml.exe
'<SYSTEM32>\taskkill.exe' /f /im mcdash.exe
'<SYSTEM32>\net1.exe' stop "Panda anti-virus service"
'<SYSTEM32>\taskkill.exe' /f /im mcvsshld.exe
'<SYSTEM32>\taskkill.exe' /f /im mcmnhdlr.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\taskkill.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\reg.exe

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: %TEMP%\ntdtcstp.dll

Завершает или пытается завершить

следующие пользовательские процессы:

ekrn.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\rp.log
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\RestorePointSize
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\rp.log
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\RestorePointSize
%TEMP%\cmsetac.dll
%TEMP%\ntdtcstp.dll
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\RestorePointSize
%TEMP%\server.exe
%TEMP%\X28.exe
%TEMP%\X28.bmp
%TEMP%\corinthians04-300x225.jpg
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\rp.log
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\RestorePointSize
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\rp.log