Trojan.PWS.Panda.7664

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{58DC0A6E-7E97-B8FA-D84B-0E3206BF751D}' = '%APPDATA%\Roaming\QIP\trayQIP.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Roaming\QIP\trayQIP.exe'
'<Текущая директория>\doc.scr' /S

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL <Текущая директория>\2.doc
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL <Текущая директория>\1.xls

Внедряет код в

следующие системные процессы:

<SYSTEM32>\Dwm.exe
<SYSTEM32>\taskhost.exe
%WINDIR%\Explorer.EXE

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A03' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1A05' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A06' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A05' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A05' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A02' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Deleted Items\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Drafts\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Junk E-mail\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Inbox\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Outbox\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Sent Items\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Inbox\52265CD8-00000001.eml
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Inbox\52265CD8-00000001.eml:OECustomProperty
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab448.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab479.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8C38.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8C68.tmp
%TEMP%\ppcrlui_2524_2
%APPDATA%\Roaming\QIP\trayQIP.exe
%TEMP%\tmp64f6030f.bat
<LS_APPDATA>Low\EmieSiteList\EmieSiteListAgent
<Текущая директория>\2.doc
<Текущая директория>\1.xls
<Текущая директория>\doc.scr
<LS_APPDATA>\Microsoft\Windows Mail\tmp.edb
<LS_APPDATA>\Microsoft\Windows Mail\Backup\temp\WindowsMail.pat
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\www2[1].htm
<LS_APPDATA>\Microsoft\Windows Mail\edb.log
<LS_APPDATA>\Microsoft\Windows Mail\Backup\temp\WindowsMail.MSMessageStore
<LS_APPDATA>\Microsoft\Windows Mail\edbtmp.log
<LS_APPDATA>\Microsoft\Windows Mail\Backup\temp\edb00002.log

Удаляет следующие файлы:

%TEMP%\ppcrlui_2524_2
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab448.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab479.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8C68.tmp
<Текущая директория>\doc.scr
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\www2[1].htm
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8C38.tmp

Перемещает следующие файлы:

<LS_APPDATA>Low\EmieSiteList\EmieSiteListAgent в <LS_APPDATA>Low\EmieSiteList\EmieSiteListAgent.tmp
<LS_APPDATA>\Microsoft\Windows Mail\edbtmp.log в <LS_APPDATA>\Microsoft\Windows Mail\edb.log

Сетевая активность:

Подключается к:

'20#.#6.232.182':80
'ct###.#indowsupdate.com':80
'do###zona.su':80

TCP:

Запросы HTTP GET:

20#.#6.232.182/pki/crl/products/WinPCA.crl
20#.#6.232.182/pki/crl/products/CodeSignPCA.crl
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?3a##############
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?3f##############
20#.#6.232.182/pki/mscorp/crl/mswww(6).crl

Запросы HTTP POST: