Trojan.KeyLogger.26243

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\Punto Switcher.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\is-0F0J9.tmp\puntounloader.exe'
'%PROGRAM_FILES%\Punto Switcher\punto.exe'
'%TEMP%\is-V932R.tmp\Punto Switcher 3.2.7.84.tmp' /SL5="$1010A,769101,64512,%TEMP%\RarSFX0\Punto Switcher 3.2.7.84.exe" /SILENT
'%TEMP%\RarSFX0\Install.exe'
'%TEMP%\RarSFX0\Punto Switcher 3.2.7.84.exe' /SILENT

Запускает на исполнение:

'<SYSTEM32>\wscript.exe' "%TEMP%\RarSFX0\Clean_start.vbs"
'%WINDIR%\regedit.exe' /s "%TEMP%\RarSFX0\settings.reg"

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\ctfmon.exe

большое количество пользовательских процессов.

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Библиотека-обработчик для всех процессов: %PROGRAM_FILES%\Punto Switcher\pshook.dll

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Punto Switcher\Sounds\is-LDECD.tmp
%PROGRAM_FILES%\Punto Switcher\Sounds\is-OKOG0.tmp
%PROGRAM_FILES%\Punto Switcher\Sounds\is-7BVKP.tmp
%PROGRAM_FILES%\Punto Switcher\Sounds\is-UFNJL.tmp
%PROGRAM_FILES%\Punto Switcher\Sounds\is-DMH1T.tmp
%PROGRAM_FILES%\Punto Switcher\is-5EMPF.tmp
%PROGRAM_FILES%\Punto Switcher\is-PU112.tmp
%PROGRAM_FILES%\Punto Switcher\is-P0MCR.tmp
%PROGRAM_FILES%\Punto Switcher\Sounds\is-02JUI.tmp
%PROGRAM_FILES%\Punto Switcher\Sounds\is-SKQBU.tmp
%PROGRAM_FILES%\Punto Switcher\User Data\is-VUE5C.tmp
%PROGRAM_FILES%\Punto Switcher\is-SST11.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\Punto Switcher\Punto Switcher.lnk
%PROGRAM_FILES%\Punto Switcher\unins000.dat
%ALLUSERSPROFILE%\Start Menu\Programs\Punto Switcher\Удаление.lnk
%PROGRAM_FILES%\Punto Switcher\User Data\is-AKBVQ.tmp
%PROGRAM_FILES%\Punto Switcher\Sounds\is-BSDTM.tmp
%PROGRAM_FILES%\Punto Switcher\User Data\is-IHEC6.tmp
%PROGRAM_FILES%\Punto Switcher\is-M7F1Q.tmp
%PROGRAM_FILES%\Punto Switcher\User Data\is-46G7E.tmp
%PROGRAM_FILES%\Punto Switcher\is-RHLDQ.tmp
%TEMP%\is-V932R.tmp\Punto Switcher 3.2.7.84.tmp
%TEMP%\~1.bat
%TEMP%\is-0F0J9.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-0F0J9.tmp\ISTask.dll
%TEMP%\is-0F0J9.tmp\_isetup\_shfoldr.dll
%TEMP%\RarSFX0\Install.exe
%TEMP%\RarSFX0\Clean_start.vbs
%TEMP%\RarSFX0\preferences.xml
%TEMP%\RarSFX0\settings.reg
%TEMP%\RarSFX0\Punto Switcher 3.2.7.84.exe
%PROGRAM_FILES%\Punto Switcher\is-Q7B0O.tmp
%PROGRAM_FILES%\Punto Switcher\Data\is-LLEBQ.tmp
%PROGRAM_FILES%\Punto Switcher\is-EF38K.tmp
%PROGRAM_FILES%\Punto Switcher\is-CT8C7.tmp
%PROGRAM_FILES%\Punto Switcher\is-34HCB.tmp
%PROGRAM_FILES%\Punto Switcher\is-CF40R.tmp
%TEMP%\is-0F0J9.tmp\puntounloader.exe
%PROGRAM_FILES%\Punto Switcher\Data\is-RGDET.tmp
%PROGRAM_FILES%\Punto Switcher\Data\is-6528S.tmp
%PROGRAM_FILES%\Punto Switcher\Data\is-CCU8H.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\~1.bat

Удаляет следующие файлы:

%TEMP%\is-0F0J9.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-0F0J9.tmp\_isetup\_shfoldr.dll
%TEMP%\is-V932R.tmp\Punto Switcher 3.2.7.84.tmp
%TEMP%\is-0F0J9.tmp\puntounloader.exe
%PROGRAM_FILES%\Punto Switcher\User Data\preferences.xml
%PROGRAM_FILES%\Punto Switcher\punto.exe
%TEMP%\is-0F0J9.tmp\ISTask.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\Punto Switcher\Sounds\is-7BVKP.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\ru.wav
%PROGRAM_FILES%\Punto Switcher\Sounds\is-DMH1T.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\switch.wav
%PROGRAM_FILES%\Punto Switcher\Sounds\is-UFNJL.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\typeeng.wav
%PROGRAM_FILES%\Punto Switcher\Sounds\is-02JUI.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\misprint.wav
%PROGRAM_FILES%\Punto Switcher\Sounds\is-OKOG0.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\replace.wav
%PROGRAM_FILES%\Punto Switcher\Sounds\is-LDECD.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\reverse.wav
%PROGRAM_FILES%\Punto Switcher\Sounds\is-BSDTM.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\typerus.wav
%PROGRAM_FILES%\Punto Switcher\is-M7F1Q.tmp в %PROGRAM_FILES%\Punto Switcher\punto.exe
%PROGRAM_FILES%\Punto Switcher\is-SST11.tmp в %PROGRAM_FILES%\Punto Switcher\punto.exe
%PROGRAM_FILES%\Punto Switcher\User Data\is-VUE5C.tmp в %PROGRAM_FILES%\Punto Switcher\User Data\preferences.xml
%PROGRAM_FILES%\Punto Switcher\User Data\is-AKBVQ.tmp в %PROGRAM_FILES%\Punto Switcher\User Data\preferences.xml
%PROGRAM_FILES%\Punto Switcher\User Data\is-IHEC6.tmp в %PROGRAM_FILES%\Punto Switcher\User Data\preferences.xml
%PROGRAM_FILES%\Punto Switcher\User Data\is-46G7E.tmp в %PROGRAM_FILES%\Punto Switcher\User Data\preferences.xml
%PROGRAM_FILES%\Punto Switcher\Sounds\is-SKQBU.tmp в %PROGRAM_FILES%\Punto Switcher\Sounds\en.wav
%PROGRAM_FILES%\Punto Switcher\Data\is-6528S.tmp в %PROGRAM_FILES%\Punto Switcher\Data\translit-ru.dat
%PROGRAM_FILES%\Punto Switcher\Data\is-LLEBQ.tmp в %PROGRAM_FILES%\Punto Switcher\Data\triggers.dat
%PROGRAM_FILES%\Punto Switcher\is-Q7B0O.tmp в %PROGRAM_FILES%\Punto Switcher\layouts.exe
%PROGRAM_FILES%\Punto Switcher\is-CF40R.tmp в %PROGRAM_FILES%\Punto Switcher\unins000.exe
%PROGRAM_FILES%\Punto Switcher\Data\is-RGDET.tmp в %PROGRAM_FILES%\Punto Switcher\Data\ps.dat
%PROGRAM_FILES%\Punto Switcher\Data\is-CCU8H.tmp в %PROGRAM_FILES%\Punto Switcher\Data\translit-en.dat
%PROGRAM_FILES%\Punto Switcher\is-EF38K.tmp в %PROGRAM_FILES%\Punto Switcher\pshook.dll
%PROGRAM_FILES%\Punto Switcher\is-PU112.tmp в %PROGRAM_FILES%\Punto Switcher\ps.chm
%PROGRAM_FILES%\Punto Switcher\is-5EMPF.tmp в %PROGRAM_FILES%\Punto Switcher\diary.dll
%PROGRAM_FILES%\Punto Switcher\is-P0MCR.tmp в %PROGRAM_FILES%\Punto Switcher\diary.exe
%PROGRAM_FILES%\Punto Switcher\is-34HCB.tmp в %PROGRAM_FILES%\Punto Switcher\puntounloader.exe
%PROGRAM_FILES%\Punto Switcher\is-CT8C7.tmp в %PROGRAM_FILES%\Punto Switcher\ps64ldr.exe
%PROGRAM_FILES%\Punto Switcher\is-RHLDQ.tmp в %PROGRAM_FILES%\Punto Switcher\pshook64.dll