Trojan.PWS.Banker1.12011

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%APPDATA%\skype.dat'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cj-ynsp-gbnn-rpfaaubtca-jxdugnuxkord-ippzst-ytqr-lzig-mpbw-lzyb-hcdu-bwfzkfdnionevp-pqoupmsdjx-nf[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\zovrdmihzovrdmihlzpisd-orvaam-znejshxsgocntyarcr-xtwi-snbq-iqontibheaxloefqwbytkyspih-xpnb-[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ty-ebms-qtus-qzukwguxdhyxarlmlzjzpl-llohddnaheoxxi-osuqdmehkgdnzm-ksgl-jvpiusnhpl-xqcq-zmvi-ce[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\oxpydrrczrxqehat-lgqs-eyjw-bltmlgbtnn-qpxvlicjxxjl-osli-phfv-xtgt-fpqudhbqab-blux-ftpacelauxsd[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tw-wpwbjgnfwfmrhtcj-tslgco-nnqukk-xlpbru-zrdi-cedrysiqzmquynsdyqybezndwfixea-gnla-ouvp-akrn-qp[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bw-ipna-dwwipqneytks-fayb-qryxceebxyac-tseh-cdkohtpaakkypidg-healnb-oefa-ptkkpp-kowggtftxfbfba[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hjyqybtisddnxocq-pbtuyeyxspxoyvwpnwwg-uornhckscu-ehnw-bfox-xiwp-myvi-pvzoacpbrtmy-vafappnlxf[1].php
%APPDATA%\skype.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\eyvi-bfiqfzcjynsp-ldpbfpqudrfc-rolzyb-htpmvn-jucjyb-juatbl-shllrgdfldoa-ebdi-rqqt-gtvyox-yquakd-[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\uobihckkrq-shgscdgkdayjrawfddcbqcfmjkcl-viixiprubcmy-btld-iogt-phuadkkselmp-oujuvt-sidizjqr[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\yg-fquo-bihckkrqshowtijpwkfpspegdnoabc-ysgbgtamns-spqstefqdr-dddd-htop-msri-ebht-xyqk-wfpr-wgxc-[1].html

Сетевая активность:

Подключается к:

'as##.xxuz.com':80
'sw####erorbitz.biz':80
'me#####sterunsaved.us':80

TCP:

Запросы HTTP GET:

sw####erorbitz.biz/tgp/ty-ebms-qtus-qzukwguxdhyxarlmlzjzpl-llohddnaheoxxi-osuqdmehkgdnzm-ksgl-jvpiusnhpl-xqcq-zmvi-ce.php
me#####sterunsaved.us/o/cj-ynsp-gbnn-rpfaaubtca-jxdugnuxkord-ippzst-ytqr-lzig-mpbw-lzyb-hcdu-bwfzkfdnionevp-pqoupmsdjx-nf.php
as##.xxuz.com/o/tw-wpwbjgnfwfmrhtcj-tslgco-nnqukk-xlpbru-zrdi-cedrysiqzmquynsdyqybezndwfixea-gnla-ouvp-akrn-qp.php
sw####erorbitz.biz/o/iouulmld-wkclalbcio-dkyt-uyrz-uxcbrircfpofzv-nbgt-qtri-xlzo-gkgj-dgitvisiybgartrisikshcqngncu-.php
me#####sterunsaved.us/o/oxpydrrczrxqehat-lgqs-eyjw-bltmlgbtnn-qpxvlicjxxjl-osli-phfv-xtgt-fpqudhbqab-blux-ftpacelauxsd.php
as##.xxuz.com/post/zovrdmihzovrdmihlzpisd-orvaam-znejshxsgocntyarcr-xtwi-snbq-iqontibheaxloefqwbytkyspih-xpnb-.html
sw####erorbitz.biz/post/eyvi-bfiqfzcjynsp-ldpbfpqudrfc-rolzyb-htpmvn-jucjyb-juatbl-shllrgdfldoa-ebdi-rqqt-gtvyox-yquakd-.html
me#####sterunsaved.us/tgp/hjyqybtisddnxocq-pbtuyeyxspxoyvwpnwwg-uornhckscu-ehnw-bfox-xiwp-myvi-pvzoacpbrtmy-vafappnlxf.php
as##.xxuz.com/post/yg-fquo-bihckkrqshowtijpwkfpspegdnoabc-ysgbgtamns-spqstefqdr-dddd-htop-msri-ebht-xyqk-wfpr-wgxc-.html
sw####erorbitz.biz/o/bw-ipna-dwwipqneytks-fayb-qryxceebxyac-tseh-cdkohtpaakkypidg-healnb-oefa-ptkkpp-kowggtftxfbfba.php
me#####sterunsaved.us/post/uobihckkrq-shgscdgkdayjrawfddcbqcfmjkcl-viixiprubcmy-btld-iogt-phuadkkselmp-oujuvt-sidizjqr.html