Trojan.PWS.SvcStealer.3

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemHelper' = '<SYSTEM32>\sysmanger.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsHelper' = '%WINDIR%\sysrtlcw.exe'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemDriver' = '%APPDATA%\Sysmrdrv\sysmrdrv.exe'

Создает или изменяет следующие файлы

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\vcxvxcfd.exe
%APPDATA%\dzerdscv.exe
%APPDATA%\xwcvwxdz.exe
%APPDATA%\fdsfsqdz.exe
<Текущая директория>\dsfsdfdsfsdf.exe
<SYSTEM32>\sysmanger.exe
%WINDIR%\sysrtlcw.exe
%TEMP%\is-8gif8.tmp\vcxvxcfd.tmp
%APPDATA%\sysmrdrv\sysmrdrv.exe
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\screenshot.jpg
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\software_info.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\system_info.txt
%TEMP%\is-6duno.tmp\_isetup\_setup64.tmp
%TEMP%\is-rr969.tmp\vcxvxcfd.tmp
%TEMP%\is-beaas.tmp\_isetup\_setup64.tmp
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\directories.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\windows_info.txt
%TEMP%\web data
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\browsers\chrome_web data
%TEMP%\history
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\browsers\chrome_history
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\browsers\chrome_history.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\filegrabber\adhd_and_obesity.docx
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\filegrabber\nwfieldnotes1966.docx
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}.zip
%TEMP%\is-beaas.tmp\is-4ul0g.tmp
%TEMP%\is-beaas.tmp\is-3urtt.tmp
%APPDATA%\apphostinterface_1\apphostinterface_1.drv
%APPDATA%\screenshot.jpg

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

%TEMP%\is-6duno.tmp\_isetup\_setup64.tmp
%TEMP%\is-8gif8.tmp\vcxvxcfd.tmp
%TEMP%\is-beaas.tmp\7z.exe
%TEMP%\is-beaas.tmp\apphostinterface_1.drv.7z
%TEMP%\is-beaas.tmp\_isetup\_setup64.tmp
%TEMP%\is-rr969.tmp\vcxvxcfd.tmp
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\browsers\chrome_history
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\browsers\chrome_history.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\browsers\chrome_web data
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\directories.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\filegrabber\adhd_and_obesity.docx
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\filegrabber\nwfieldnotes1966.docx
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\screenshot.jpg
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\software_info.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\system_info.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}\windows_info.txt
%ALLUSERSPROFILE%\{846ee340-7039-11de-9d20-806e6f6e6963}.zip

Перемещает следующие файлы

%TEMP%\is-beaas.tmp\is-4ul0g.tmp в %TEMP%\is-beaas.tmp\7z.exe
%TEMP%\is-beaas.tmp\is-3urtt.tmp в %TEMP%\is-beaas.tmp\apphostinterface_1.drv.7z

Сетевая активность

Подключается к

TCP

Другие

UDP

Другое

Создает и запускает на исполнение

'%APPDATA%\vcxvxcfd.exe'
'%APPDATA%\dzerdscv.exe'
'%APPDATA%\xwcvwxdz.exe'
'%APPDATA%\fdsfsqdz.exe'
'%TEMP%\is-8gif8.tmp\vcxvxcfd.tmp' /SL5="$70180,1967372,813056,%APPDATA%\vcxvxcfd.exe"
'<Текущая директория>\dsfsdfdsfsdf.exe'
'<SYSTEM32>\sysmanger.exe'
'%APPDATA%\vcxvxcfd.exe' /VERYSILENT
'%TEMP%\is-rr969.tmp\vcxvxcfd.tmp' /SL5="$80170,1967372,813056,%APPDATA%\vcxvxcfd.exe" /VERYSILENT
'%TEMP%\is-beaas.tmp\7z.exe' x "%TEMP%\is-BEAAS.tmp\AppHostInterface_1.drv.7z" -o"%APPDATA%\AppHostInterface_1" -pmkyOzOvxg7yXsjAH44noXr5HpVjXs94S -y

Запускает на исполнение

'%WINDIR%\syswow64\regsvr32.exe' /s /i:svc "%APPDATA%\AppHostInterface_1\\AppHostInterface_1.drv" (со скрытым окном)
'<SYSTEM32>\regsvr32.exe' /s /i:svc "%APPDATA%\AppHostInterface_1\\AppHostInterface_1.drv"
'%APPDATA%\vcxvxcfd.exe' /VERYSILENT (со скрытым окном)
'%TEMP%\is-beaas.tmp\7z.exe' x "%TEMP%\is-BEAAS.tmp\AppHostInterface_1.drv.7z" -o"%APPDATA%\AppHostInterface_1" -pmkyOzOvxg7yXsjAH44noXr5HpVjXs94S -y (со скрытым окном)