Trojan.PWS.Spy.19153

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\sppsvc] 'Start' = '00000002'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\slui.exe' -Embedding
'<SYSTEM32>\sppsvc.exe'
'<SYSTEM32>\Wat\WatAdminSvc.exe' /run
'<SYSTEM32>\Wat\WatAdminSvc.exe'

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab112F.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab1150.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\strings[3].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\strings[3].txt
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\C24EC5BDAF13613245B4CECC3DE91DC6
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7B2C.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7B3D.tmp
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content\C24EC5BDAF13613245B4CECC3DE91DC6
%WINDIR%\Temp\tmp59C3.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\strings[1].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\strings[1].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\strings[1].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\strings[1].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\strings[2].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\strings[2].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\strings[3].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\strings[2].txt
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\strings[2].txt

Удаляет следующие файлы:

%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7B2C.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab7B3D.tmp
%WINDIR%\Temp\tmp59C3.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab112F.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab1150.tmp

Сетевая активность:

Подключается к:

'ge#####sitetraffic.com':80
'www.un#####ittelhessen.de':80
'da###.sejong.ac.kr':80
'20#.#6.232.182':80
'ct###.#indowsupdate.com':80
'cp#.##nsei.ac.kr':80
'www.av###ilm.com.ua':80
'ta####inemax.net':80
'www.vu####usalumni.net':80
'www.pc##nto.hu':80
'www.ar##mon.cz':80
'www.vu#p.cz':80

TCP:

Запросы HTTP GET:

ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?a0##############
cp#.##nsei.ac.kr/bbs/icon/private_icon/strings.txt
ge#####sitetraffic.com/cache/forums/strings.txt
20#.#6.232.182/pki/crl/products/microsoftrootcert.crl
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?bd##############
20#.#6.232.182/fwlink/?Li###########
20#.#6.232.182/pki/crl/products/WinPCA.crl
www.un#####ittelhessen.de/eventbilder/gross/.../strings.txt
www.av###ilm.com.ua/forum/files/.../strings.txt
ta####inemax.net/js/info/strings.txt
www.vu####usalumni.net/templates/css/strings.txt
www.vu#p.cz/includes/.../strings.txt
da###.sejong.ac.kr/~appmath/test/bbs/strings.txt
www.pc##nto.hu/portal/actions/admin/perm/.../strings.txt
www.ar##mon.cz/dov/strings.txt