Trojan.Inject1.32035

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\1.tmp\PEVZ.EXE' /pid=1484
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4080
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3756
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4692
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4324
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4216
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3236
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4040
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3984
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3832
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3132
'%TEMP%\1.tmp\PEVZ.EXE' /pid=2540
'%TEMP%\1.tmp\PEVZ.EXE' /pid=856
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3808
'%TEMP%\1.tmp\PEVZ.EXE' /pid=1404
'%TEMP%\1.tmp\PEVZ.EXE' /pid=2592
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4588
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4480
'%TEMP%\1.tmp\PEVZ.EXE' /pid=1912
'%TEMP%\1.tmp\PEVZ.EXE' /pid=6104
'%TEMP%\1.tmp\PEVZ.EXE' /pid=5004
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4900
'%TEMP%\1.tmp\PEVZ.EXE' /pid=4740
'%TEMP%\1.tmp\PEVZ.EXE' /pid=6056
'%TEMP%\1.tmp\PEVZ.EXE' /pid=5576
'%TEMP%\1.tmp\PEVZ.EXE' /pid=5472
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3752
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\spoolsv.exe"
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "%WINDIR%\Explorer.EXE"
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\lsass.exe"
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\alg.exe"
'%TEMP%\1.tmp\PEVZ.EXE' <Служебный элемент>
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\ctfmon.exe"
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\services.exe"
'%TEMP%\1.tmp\PEVZ.EXE' -rtd "%HOMEPATH%"
'%TEMP%\1.tmp\PEVZ.EXE' PLIST
'%TEMP%\1.tmp\PEVZ.EXE' clist
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "\??\<SYSTEM32>\winlogon.exe"
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "\??\<SYSTEM32>\csrss.exe"
'%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\smss.exe"
'%TEMP%\1.tmp\PEVZ.EXE' /pid=1424
'%TEMP%\1.tmp\PEVZ.EXE' /pid=364
'%TEMP%\1.tmp\PEVZ.EXE' /pid=1520
'%TEMP%\1.tmp\PEVZ.EXE' /S /D /c" type tmp.txt "
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3340
'%TEMP%\1.tmp\PEVZ.EXE' /pid=1176
'%TEMP%\1.tmp\PEVZ.EXE' /pid=796
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3624
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3576
'%TEMP%\1.tmp\PEVZ.EXE' /M /I "smeenk"
'%TEMP%\1.tmp\PEVZ.EXE' /pid=516
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3940
'%TEMP%\1.tmp\PEVZ.EXE' /pid=3888

Запускает на исполнение:

'<SYSTEM32>\findstr.exe' /pid=4576
'<SYSTEM32>\findstr.exe' /pid=4472
'<SYSTEM32>\findstr.exe' /pid=5152
'<SYSTEM32>\findstr.exe' /pid=5076
'<SYSTEM32>\findstr.exe' /pid=4396
'<SYSTEM32>\findstr.exe' /pid=3468
'<SYSTEM32>\findstr.exe' /pid=2172
'<SYSTEM32>\findstr.exe' /pid=3888
'<SYSTEM32>\findstr.exe' /pid=3856
'<SYSTEM32>\findstr.exe' /pid=5284
'<SYSTEM32>\findstr.exe' /pid=4212
'<SYSTEM32>\findstr.exe' /pid=1444
'<SYSTEM32>\findstr.exe' /pid=4312
'<SYSTEM32>\findstr.exe' /pid=4264
'<SYSTEM32>\findstr.exe' /pid=3132
'<SYSTEM32>\findstr.exe' /pid=5724
'<SYSTEM32>\findstr.exe' /pid=5648
'<SYSTEM32>\findstr.exe' /pid=340
'<SYSTEM32>\findstr.exe' /pid=5756
'<SYSTEM32>\findstr.exe' /pid=1484
'<SYSTEM32>\findstr.exe' /M /I ".com"
'<SYSTEM32>\findstr.exe' /M /I "z-analyse"
'<SYSTEM32>\findstr.exe' /M /I ".scr"
'<SYSTEM32>\findstr.exe' /M /I ".pif"
'<SYSTEM32>\findstr.exe' /M /I "zoek"
'<SYSTEM32>\findstr.exe' /M /I "zoek.bat"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\zoek-install.bat" "
'<SYSTEM32>\findstr.exe' /M /I "mshta.exe"
'<SYSTEM32>\findstr.exe' -RIV "C:\\WINDOWS\\system32\\svchost.exe C:\\WINDOWS\\system32\\cmd.exe \\PEVZ.exe" ProcessList.txt
'<SYSTEM32>\findstr.exe' /M /I ".exe"
'<SYSTEM32>\findstr.exe' /pid=3916
'<SYSTEM32>\findstr.exe' /pid=3572
'<SYSTEM32>\findstr.exe' /pid=740
'<SYSTEM32>\findstr.exe' /pid=4024
'<SYSTEM32>\findstr.exe' <Служебный элемент>
'<SYSTEM32>\findstr.exe' /S /D /c" type tmp.txt "
'<SYSTEM32>\findstr.exe' /M /I "smeenk"
'<SYSTEM32>\findstr.exe' /pid=3376
'<SYSTEM32>\findstr.exe' /pid=3296