Trojan.KeyLogger.25603

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'IDMan' = '%PROGRAM_FILES%\Internet Download Manager\IDMan.exe /onboot'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\IDMTDI] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Internet Download Manager\IEMonitor.exe'
'%PROGRAM_FILES%\Internet Download Manager\IDMan.exe'

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' SETUPAPI.DLL,InstallHinfSection DefaultInstall 128 %PROGRAM_FILES%\Internet Download Manager\idmtdi.inf
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %PROGRAM_FILES%\Internet Download Manager\IDM_Reg.JPG
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\net1.exe' start idmtdi
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\taskkill.exe' /F /IM IDMan.exe
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\IDM Registered.bat""
'<SYSTEM32>\taskkill.exe' /F /IM IEMonitor.exe
'<SYSTEM32>\reg.exe' IMPORT IdmSettings.reg
'<SYSTEM32>\reg.exe' IMPORT Register.reg

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: %PROGRAM_FILES%\Internet Download Manager\IDMNetMon.DLL

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Internet Download Manager\idmtdi64.sys
%PROGRAM_FILES%\Internet Download Manager\idmtdi32.sys
%PROGRAM_FILES%\Internet Download Manager\idmwfp32.sys
%PROGRAM_FILES%\Internet Download Manager\license.txt
%PROGRAM_FILES%\Internet Download Manager\idmwfp64.sys
%PROGRAM_FILES%\Internet Download Manager\idmtdi.cat
%PROGRAM_FILES%\Internet Download Manager\IEGetVL2.htm
%PROGRAM_FILES%\Internet Download Manager\idmwfp.cat
%PROGRAM_FILES%\Internet Download Manager\idmwfp.inf
%PROGRAM_FILES%\Internet Download Manager\idmtdi.inf
%PROGRAM_FILES%\Internet Download Manager\Toolbar\@Brain9G.tbi
%HOMEPATH%\Desktop\IDMan.exe.lnk
%PROGRAM_FILES%\Internet Download Manager\Toolbar\@Brain9G_Large_Disable.bmp
%PROGRAM_FILES%\Internet Download Manager\Toolbar\@Brain9G_Large_Normal.bmp
%PROGRAM_FILES%\Internet Download Manager\Toolbar\@Brain9G_Large_Hot.bmp
%PROGRAM_FILES%\Internet Download Manager\IDMSetup2.log
%PROGRAM_FILES%\Internet Download Manager\tips.txt
%PROGRAM_FILES%\Internet Download Manager\idmantypeinfo.tlb
%PROGRAM_FILES%\Internet Download Manager\IDM_Reg.JPG
%PROGRAM_FILES%\Internet Download Manager\idmmzcc.xpi
%PROGRAM_FILES%\Internet Download Manager\IEGetVL.htm
%PROGRAM_FILES%\Internet Download Manager\IDMShellExt.dll
%PROGRAM_FILES%\Internet Download Manager\IDMNetMon64.dll
%PROGRAM_FILES%\Internet Download Manager\IDMShellExt64.dll
%PROGRAM_FILES%\Internet Download Manager\idmvs.dll
%PROGRAM_FILES%\Internet Download Manager\idmvconv.dll
%PROGRAM_FILES%\Internet Download Manager\IDMIECC64.dll
%PROGRAM_FILES%\Internet Download Manager\IDMIECC.dll
%PROGRAM_FILES%\Internet Download Manager\idmindex.dll
%PROGRAM_FILES%\Internet Download Manager\IDMNetMon.dll
%PROGRAM_FILES%\Internet Download Manager\idmmkb.dll
%PROGRAM_FILES%\Internet Download Manager\IDMGCExt.crx
%PROGRAM_FILES%\Internet Download Manager\tutor.chm
%PROGRAM_FILES%\Internet Download Manager\IDMFType.dat
%PROGRAM_FILES%\Internet Download Manager\IEGetAll.htm
%PROGRAM_FILES%\Internet Download Manager\IEExt.htm
%PROGRAM_FILES%\Internet Download Manager\IDMShellExt64.dll~~
%PROGRAM_FILES%\Internet Download Manager\idmmkb.dll~~
%PROGRAM_FILES%\Internet Download Manager\grabber.chm
%PROGRAM_FILES%\Internet Download Manager\scheduler.chm
%PROGRAM_FILES%\Internet Download Manager\idman.chm
%APPDATA%\IDM\idmmzcc5\META-INF\zigbert.sf
%APPDATA%\IDM\idmmzcc5\META-INF\manifest.mf
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\IDM\idmmzcc5\components2\iIDMHelper.xpt
%APPDATA%\IDM\idmmzcc5\components2\idmmzcc64.dll
%APPDATA%\IDM\idmmzcc5\components2\iIDMMzCC.xpt
%APPDATA%\IDM\idmmzcc5\components2\idmcchandler2_64.dll
%APPDATA%\IDM\idmmzcc5\components2\idmcchandler2.dll
<DRIVERS>\SETA.tmp
%WINDIR%\inf\oem3.PNF
%APPDATA%\IDM\Scheduler\s_1.dt
%APPDATA%\IDM\DwnlData\%USERNAME%\lang0x22_10\lang0x22.txt
%APPDATA%\IDM\DwnlData\%USERNAME%\lang0x22_10\lang0x22_10.log
%TEMP%\Cab4.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab6.tmp
%WINDIR%\inf\oem3.inf
%TEMP%\Cab8.tmp
%APPDATA%\IDM\idmmzcc5\components2\idmmzcc.dll
%APPDATA%\IDM\urlexclist.dat
%APPDATA%\IDM\defextmap.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\brain9g[1]
%APPDATA%\IDM\idmmzcc5\chrome.manifest
%APPDATA%\IDM\idmmzcc5\META-INF\zigbert.rsa
%PROGRAM_FILES%\Internet Download Manager\Toolbar\@Brain9G_Small_Hot.bmp
%PROGRAM_FILES%\Internet Download Manager\Toolbar\@Brain9G_Small_Disable.bmp
%PROGRAM_FILES%\Internet Download Manager\Toolbar\@Brain9G_Small_Normal.bmp
%HOMEPATH%\Recent\Internet Download Manager.lnk
%HOMEPATH%\Recent\IDM_Reg.lnk
%APPDATA%\IDM\idmmzcc5\components\iIDMMzCC.xpt
%APPDATA%\IDM\idmmzcc5\components\iIDMHelper5.xpt
%APPDATA%\IDM\idmmzcc5\components10\idmmzcc.dll
%APPDATA%\IDM\idmmzcc5\components2\idmhelper.js
%APPDATA%\IDM\idmmzcc5\components10\idmmzcc64.dll
%APPDATA%\IDM\idmmzcc5\install.rdf
%APPDATA%\IDM\idmmzcc5\install.js
%APPDATA%\IDM\idmmzcc5\chrome\idmmzcc.jar
%APPDATA%\IDM\idmmzcc5\components\idmmzcc.dll
%APPDATA%\IDM\idmmzcc5\components\idmhelper5.js
%PROGRAM_FILES%\Internet Download Manager\IDMGetAll64.dll
<Текущая директория>\idmvs.dll
<Текущая директория>\idmvconv.dll
<Текущая директория>\@Brain9G_Large_Disable.bmp
<Текущая директория>\@Brain9G_Large_Normal.bmp
<Текущая директория>\@Brain9G_Large_Hot.bmp
<Текущая директория>\IDMNetMon.dll
<Текущая директория>\idmmkb.dll
<Текущая директория>\IDMNetMon64.dll
<Текущая директория>\IDMShellExt64.dll
<Текущая директория>\IDMShellExt.dll
<Текущая директория>\tutor.chm
<Текущая директория>\scheduler.chm
<Текущая директория>\IDMGCExt.crx
<Текущая директория>\idmmkb.dll~~
<Текущая директория>\IDMFType.dat
<Текущая директория>\@Brain9G_Small_Hot.bmp
<Текущая директория>\@Brain9G_Small_Disable.bmp
<Текущая директория>\@Brain9G_Small_Normal.bmp
<Текущая директория>\idman.chm
<Текущая директория>\grabber.chm
<Текущая директория>\idmindex.dll
<Текущая директория>\Uninstall.exe
<Текущая директория>\MediumILStart.exe
<Текущая директория>\downlWithIDM.dll
<Текущая директория>\idmbrbtn.dll
<Текущая директория>\downlWithIDM64.dll
<Текущая директория>\idmBroker.exe
%TEMP%\1.tmp\IDM Registered.bat
<Текущая директория>\IDMGrHlp.exe
<Текущая директория>\IEMonitor.exe
<Текущая директория>\IDMIntegrator64.exe
<Текущая директория>\IDMGetAll.dll
<Текущая директория>\IDMFType64.dll
<Текущая директория>\IDMGetAll64.dll
<Текущая директория>\IDMIECC64.dll
<Текущая директория>\IDMIECC.dll
<Текущая директория>\idmcchandler2.dll
<Текущая директория>\idmbrbtn64.dll
<Текущая директория>\idmcchandler2_64.dll
<Текущая директория>\idmftype.dll
<Текущая директория>\idmfsa.dll
%PROGRAM_FILES%\Internet Download Manager\IDMIntegrator64.exe
%PROGRAM_FILES%\Internet Download Manager\IDMGrHlp.exe
%PROGRAM_FILES%\Internet Download Manager\IEMonitor.exe
%PROGRAM_FILES%\Internet Download Manager\Uninstall.exe
%PROGRAM_FILES%\Internet Download Manager\MediumILStart.exe
<Текущая директория>\idmmzcc.xpi
<Текущая директория>\idmantypeinfo.tlb
<Текущая директория>\IDMan.exe
%PROGRAM_FILES%\Internet Download Manager\idmBroker.exe
%PROGRAM_FILES%\Internet Download Manager\IDMan.exe
%PROGRAM_FILES%\Internet Download Manager\idmfsa.dll
%PROGRAM_FILES%\Internet Download Manager\idmcchandler2_64.dll
%PROGRAM_FILES%\Internet Download Manager\idmftype.dll
%PROGRAM_FILES%\Internet Download Manager\IDMGetAll.dll
%PROGRAM_FILES%\Internet Download Manager\IDMFType64.dll
%PROGRAM_FILES%\Internet Download Manager\downlWithIDM64.dll
%PROGRAM_FILES%\Internet Download Manager\downlWithIDM.dll
%PROGRAM_FILES%\Internet Download Manager\idmbrbtn.dll
%PROGRAM_FILES%\Internet Download Manager\idmcchandler2.dll
%PROGRAM_FILES%\Internet Download Manager\idmbrbtn64.dll
<Текущая директория>\tips.txt
<Текущая директория>\IdmSettings.reg
<Текущая директория>\IDM_Reg.JPG
<Текущая директория>\Register.reg
<Текущая директория>\idmwfp.cat
<Текущая директория>\idmtdi.cat
<Текущая директория>\IEExt.htm
<Текущая директория>\IDMShellExt64.dll~~
<Текущая директория>\IEGetAll.htm
<Текущая директория>\IEGetVL2.htm
<Текущая директория>\IEGetVL.htm
<Текущая директория>\idmwfp64.sys
<Текущая директория>\idmwfp32.sys
<Текущая директория>\@Brain9G.tbi
<Текущая директория>\license.txt
<Текущая директория>\IDMSetup2.log
<Текущая директория>\idmwfp.inf
<Текущая директория>\idmtdi.inf
<Текущая директория>\IDMan.exe.lnk
<Текущая директория>\idmtdi64.sys
<Текущая директория>\idmtdi32.sys

Удаляет следующие файлы:

<Текущая директория>\IdmSettings.reg
<Текущая директория>\Register.reg
<Текущая директория>\IEGetVL2.htm
<Текущая директория>\IDM_Reg.JPG
<Текущая директория>\idmtdi.inf
<Текущая директория>\idmwfp.inf
<Текущая директория>\idmtdi.cat
<Текущая директория>\idmwfp.cat
<Текущая директория>\IEGetVL.htm
<Текущая директория>\IDMGCExt.crx
<Текущая директория>\IDMFType.dat
<Текущая директория>\scheduler.chm
<Текущая директория>\tutor.chm
<Текущая директория>\IEExt.htm
<Текущая директория>\IEGetAll.htm
<Текущая директория>\idmmkb.dll~~
<Текущая директория>\IDMShellExt64.dll~~
<Текущая директория>\IDMan.exe.lnk
%TEMP%\1.tmp\IDM Registered.bat
%TEMP%\Cab4.tmp
<Текущая директория>\idmmzcc.xpi
<Текущая директория>\IDMan.exe
%APPDATA%\IDM\DwnlData\%USERNAME%\lang0x22_10\lang0x22.txt
%APPDATA%\IDM\DwnlData\%USERNAME%\lang0x22_10\lang0x22_10.log
%TEMP%\Cab6.tmp
%TEMP%\Cab8.tmp
<Текущая директория>\idmantypeinfo.tlb
<Текущая директория>\idmwfp32.sys
<Текущая директория>\idmwfp64.sys
<Текущая директория>\idmtdi32.sys
<Текущая директория>\idmtdi64.sys
<Текущая директория>\license.txt
<Текущая директория>\tips.txt
<Текущая директория>\@Brain9G.tbi
<Текущая директория>\IDMSetup2.log
<Текущая директория>\idmcchandler2_64.dll
<Текущая директория>\idmfsa.dll
<Текущая директория>\idmbrbtn64.dll
<Текущая директория>\idmcchandler2.dll
<Текущая директория>\IDMGetAll.dll
<Текущая директория>\IDMGetAll64.dll
<Текущая директория>\idmftype.dll
<Текущая директория>\IDMFType64.dll
<Текущая директория>\idmbrbtn.dll
<Текущая директория>\IDMIntegrator64.exe
<Текущая директория>\IEMonitor.exe
<Текущая директория>\idmBroker.exe
<Текущая директория>\IDMGrHlp.exe
<Текущая директория>\downlWithIDM.dll
<Текущая директория>\downlWithIDM64.dll
<Текущая директория>\MediumILStart.exe
<Текущая директория>\Uninstall.exe
<Текущая директория>\IDMIECC.dll
<Текущая директория>\@Brain9G_Large_Normal.bmp
<Текущая директория>\@Brain9G_Small_Disable.bmp
<Текущая директория>\@Brain9G_Large_Disable.bmp
<Текущая директория>\@Brain9G_Large_Hot.bmp
<Текущая директория>\grabber.chm
<Текущая директория>\idman.chm
<Текущая директория>\@Brain9G_Small_Hot.bmp
<Текущая директория>\@Brain9G_Small_Normal.bmp
<Текущая директория>\idmvs.dll
<Текущая директория>\idmmkb.dll
<Текущая директория>\IDMNetMon.dll
<Текущая директория>\IDMIECC64.dll
<Текущая директория>\idmindex.dll
<Текущая директория>\IDMShellExt64.dll
<Текущая директория>\idmvconv.dll
<Текущая директория>\IDMNetMon64.dll
<Текущая директория>\IDMShellExt.dll

Перемещает следующие файлы:

<DRIVERS>\SETA.tmp в <DRIVERS>\idmtdi.sys

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'www.in######downloadmanager.com':80
'wp#d':80
'localhost':1035
'www.br##n9g.tk':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
www.in######downloadmanager.com/languages/lang0x22.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.br##n9g.tk/
wp#d/wpad.dat

UDP:

DNS ASK www.download.windowsupdate.com
DNS ASK www.in######downloadmanager.com
DNS ASK www.br##n9g.tk
DNS ASK wp#d

Другое:

Ищет следующие окна:

ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
ClassName: 'IEFrame' WindowName: '(null)'
ClassName: 'Indicator' WindowName: '(null)'
ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
ClassName: 'ShImgVw:CPreviewWnd' WindowName: '(null)'
ClassName: '(null)' WindowName: '(null)'
ClassName: '' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней