Trojan.FakeAV.17696

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\WorkspaceRuntime\wksprt.exe' = '%TEMP%\WorkspaceRuntime\wksprt.exe:*:Enabled:wksprt.exe'

Для затруднения выявления своего присутствия в системе

блокирует отображение:

Создает и запускает на исполнение:

'%TEMP%\WorkspaceRuntime\wksprt.exe'
'%TEMP%\WINDOWS\TEMPARCHIVE\taskeng.exe'
'%TEMP%\WINDOWS\TEMPARCHIVE\yYF7iKuIUnLKRW06.exe'
'%TEMP%\TEMP.downloads\alGfFMqRUeNIx9EzZ3.exe'
'%TEMP%\TEMP.downloads\yEzUQpJbwWklXZnEK.exe' -pPYNB9v -d%TEMP%\WorkspaceRuntime
'%TEMP%\TEMP.downloads\5BGSeEDE9E0g.exe' -pSE9UX20 -d%TEMP%\WINDOWS\TEMPARCHIVE

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' +a +h +s +r "%TEMP%\WINDOWS\TEMPARCHIVE\*.*"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\WINDOWS\TEMPARCHIVE\IyQoe.bat" "
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\WorkspaceRuntime\wksprt.exe" "wksprt.exe" ENABLE
'<SYSTEM32>\attrib.exe' +a +h +s +r "<DRIVERS>\etc"
'<SYSTEM32>\cacls.exe' %TEMP%\WINDOWS\TEMPARCHIVE /E /P everyone:n
'<SYSTEM32>\cacls.exe' %TEMP%\WINDOWS /E /P everyone:n
'<SYSTEM32>\attrib.exe' +a +h +s +r "%TEMP%\WINDOWS"
'<SYSTEM32>\attrib.exe' +a +h +s +r "%TEMP%\WINDOWS\TEMPARCHIVE"
'<SYSTEM32>\attrib.exe' +a +h +s +r "%TEMP%\WINDOWS\*.*"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\TEMP.downloads\btf.bat" "
'<SYSTEM32>\attrib.exe' +a +h +s +r 5BGSeEDE9E0g.exe /S /D
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\TEMP.downloads\agN.bat" "
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\TEMP.downloads\oGy.bat" "
'<SYSTEM32>\attrib.exe' +a +h +s +r yEzUQpJbwWklXZnEK.exe /S /D
'<SYSTEM32>\attrib.exe' +a +h +s +r "<DRIVERS>\etc\*.*"
'<SYSTEM32>\regini.exe' rad4E9A1.tmp
'<SYSTEM32>\wscript.exe' "%TEMP%\WINDOWS\TEMPARCHIVE\Cb8eU.vbs"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\WINDOWS\TEMPARCHIVE\v.bat" "

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Internet Explorer\Download] 'CheckExeSignatures' = 'no'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.avi;.bat;.com;.cmd;.exe;.htm;.html;.lnk;.mpg;.mpeg;.mov;.mp3;.msi;.m3u;.rar;.reg;.txt;.vbs;.wav;.zip;'

Изменения в файловой системе:

Создает следующие файлы: