Trojan.Packed.30625

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{BDFB90C6-2D08-8AD5-F105-A6845EE779E0}' = '%APPDATA%\Roaming\Yzfi\fyem.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Roaming\Yzfi\fyem.exe'
'%TEMP%\IXP000.TMP\1.scr'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\Dwm.exe
<SYSTEM32>\DllHost.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\taskhost.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[SOFTWARE\Far2\Plugins\ftp\hosts]
[SOFTWARE\Far\Plugins\ftp\hosts]

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A03' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1A05' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A06' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A05' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A05' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1A02' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Inbox\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Outbox\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Sent Items\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Backup\temp\edb00002.log
<LS_APPDATA>\Microsoft\Windows Mail\Backup\temp\WindowsMail.pat
<LS_APPDATA>\Microsoft\Windows Mail\edb.log
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Deleted Items\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Inbox\4CE435B3-00000001.eml:OECustomProperty
%APPDATA%\Roaming\Microsoft\Protect\S-1-5-21-2832440558-3064306045-1455513625-1000\07567f41-2d7a-4a9a-999d-9985e5b485ed
%TEMP%\ppcrlui_2272_2
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Drafts\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Junk E-mail\winmail.fol
<LS_APPDATA>\Microsoft\Windows Mail\Local Folders\Inbox\4CE435B3-00000001.eml
<LS_APPDATA>\CSIDL_X
%APPDATA%\Roaming\Microsoft\Windows\Start Menu\Programs\Startupx\system.pif
%APPDATA%\Roaming\Yzfi\fyem.exe
%TEMP%\IXP000.TMP\1.scr
%TEMP%\IXP000.TMP\1.sc_
<LS_APPDATA>\CSIDL_
%APPDATA%\Roaming\Yzfi\fyem.ex_
<LS_APPDATA>\Microsoft\Windows Mail\Backup\temp\WindowsMail.MSMessageStore
<LS_APPDATA>\Microsoft\Windows Mail\edbtmp.log
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\config[1].bin
%TEMP%\tmp739ca85e.bat
%APPDATA%\Roaming\Zeag\nulul.loy
<LS_APPDATA>\Microsoft\Windows Mail\tmp.edb

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\Roaming\Yzfi\fyem.ex_
<LS_APPDATA>\CSIDL_X
<LS_APPDATA>\CSIDL_

Удаляет следующие файлы:

<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\config[1].bin
%TEMP%\ppcrlui_2272_2
%TEMP%\IXP000.TMP\1.sc_
<LS_APPDATA>\CSIDL_X
%TEMP%\IXP000.TMP\1.scr

Перемещает следующие файлы: