Trojan.PWS.SpySweep.1165

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'osuninst' = '"%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'osuninst' = '"%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\osuninst.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe'
'%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe' "<Полный путь к вирусу>"

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\ctfmon.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\qasf.dll
%APPDATA%\Microsoft\Windows\dllcache\tcmsetup.exe
%APPDATA%\Microsoft\Windows\dllcache\datime.dll
%APPDATA%\Microsoft\Windows\dllcache\qappsrv.exe
%APPDATA%\Microsoft\Windows\dllcache\iac25_32.ax
%APPDATA%\Microsoft\Windows\dllcache\perfci.h
%APPDATA%\Microsoft\Windows\dllcache\webfldrs.msi
%APPDATA%\Microsoft\Windows\dllcache\catsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\schtasks.exe
%APPDATA%\Microsoft\Windows\dllcache\mag_hook.dll
%APPDATA%\Microsoft\Windows\dllcache\wdigest.dll
%APPDATA%\Microsoft\Windows\dllcache\dsdmo.dll
%APPDATA%\Microsoft\Windows\dllcache\acelpdec.ax
%APPDATA%\Microsoft\Windows\dllcache\bthprops.cpl
%APPDATA%\Microsoft\Windows\dllcache\xactsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\devmgmt.msc
%APPDATA%\Microsoft\Windows\dllcache\login.cmd
%APPDATA%\Microsoft\Windows\dllcache\efsadu.dll
%APPDATA%\Microsoft\Windows\dllcache\daxctle.ocx
%APPDATA%\Microsoft\Windows\dllcache\w32tm.exe
%APPDATA%\Microsoft\Windows\dllcache\iasacct.dll
%APPDATA%\Microsoft\Windows\dllcache\diskcopy.com
%APPDATA%\Microsoft\Windows\dllcache\emptyregdb.dat
%APPDATA%\Microsoft\Windows\dllcache\iassam.dll
%APPDATA%\Microsoft\Windows\dllcache\rasctrnm.h
%APPDATA%\Microsoft\Windows\dllcache\mcicda.dll
%APPDATA%\Microsoft\Windows\dllcache\<Служебное имя>.dll
%APPDATA%\Microsoft\Windows\dllcache\ftsrch.dll
%APPDATA%\Microsoft\Windows\dllcache\tasklist.exe
%APPDATA%\Microsoft\Windows\dllcache\kbdsw.dll
%APPDATA%\Microsoft\Windows\dllcache\UIAutomationCore.dll
%APPDATA%\Microsoft\Windows\dllcache\geo.nls
%APPDATA%\Microsoft\Windows\dllcache\pid.dll
%APPDATA%\Microsoft\Windows\dllcache\libisc.dll
%APPDATA%\Microsoft\Windows\dllcache\shgina.dll
%APPDATA%\Microsoft\Windows\dllcache\edit.hlp
%APPDATA%\Microsoft\Windows\dllcache\vfp9rrus.dll
%APPDATA%\Microsoft\Windows\dllcache\p2pgasvc.dll
%APPDATA%\Microsoft\Windows\dllcache\h323.tsp
%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
C:\Documents and Settings\Default User\Start Menu\Programs\Startup\osuninst.lnk
%APPDATA%\Microsoft\Windows\dllcache\cliconfg.dll
%APPDATA%\Microsoft\Windows\dllcache\wbcache.deu
%APPDATA%\Microsoft\Windows\dllcache\fc.exe
%APPDATA%\Microsoft\Windows\dllcache\certcli.dll
%APPDATA%\Microsoft\Windows\dllcache\dataclen.dll
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\04649532-ca0f-4d05-b72b-61cafacc644e
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\d82bd1a5eb3979c9259840a2dedf6f50_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\tmp1.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\F5E316C369DEFFE3298568DD7D01D9509B370C71
%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe
%APPDATA%\Microsoft\Windows\dllcache\h323msp.dll
%APPDATA%\Microsoft\Windows\dllcache\clbcatq.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdbu.dll
%APPDATA%\Microsoft\Windows\dllcache\watchdog.sys
%APPDATA%\Microsoft\Windows\dllcache\label.exe
%APPDATA%\Microsoft\Windows\dllcache\blastcln.exe
%APPDATA%\Microsoft\Windows\dllcache\esentprf.dll
%APPDATA%\Microsoft\Windows\dllcache\odbcbcp.dll
%APPDATA%\Microsoft\Windows\dllcache\magnify.exe
%APPDATA%\Microsoft\Windows\dllcache\cabinet.dll
%APPDATA%\Microsoft\Windows\dllcache\p2pgraph.dll
%APPDATA%\Microsoft\Windows\dllcache\modex.dll
%APPDATA%\Microsoft\Windows\dllcache\cliconf.chm
%APPDATA%\Microsoft\Windows\dllcache\acledit.dll
%APPDATA%\Microsoft\Windows\dllcache\hnetmon.dll
%APPDATA%\Microsoft\Windows\dllcache\rsvpperf.dll
%APPDATA%\Microsoft\Windows\dllcache\expand.exe
%APPDATA%\Microsoft\Windows\dllcache\wbcache.fra
%APPDATA%\Microsoft\Windows\dllcache\sc.exe

Удаляет следующие файлы:

%TEMP%\tmp1.tmp
%TEMP%\tmp4.tmp
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Windows\dllcache\osuninst.exe

Перемещает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp в %APPDATA%\Microsoft\Windows\dllcache\osuninst.exe
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp в %APPDATA%\Microsoft\Windows\dllcache\osuninst.exe

Самоудаляется.

Сетевая активность:

Подключается к: