Trojan.DownLoader17.37477

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RWLN] 'Startup' = 'WLEventStartup'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RWLN] 'Logon' = 'WLEventLogon'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RWLN] 'DllName' = 'RWLN.dll'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\SrvPrntCtrl] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Windows Audio Driver] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\Help\Windows\pt-MF\nul\spoolvs.exe'
'%WINDIR%\Help\Windows\pt-MF\nul\spoolvs.exe' /start
'<SYSTEM32>\wndaudiodrv.exe'
'%WINDIR%\Help\Windows\pt-MF\nul\services32.exe' /tray
'<SYSTEM32>\wndaudiodrv.exe' /instaudrv
'%TEMP%\pck.exe' x -pe@n@c@r@y@p@t@e@d@hack#me -y "%TEMP%\image7.bmp" -o"%TEMP%\TCD5BBZ.tmp"
'%WINDIR%\Help\Windows\pt-MF\nul\spoolvs.exe' /firewall
'%WINDIR%\Help\Windows\pt-MF\nul\spoolvs.exe' /silentinstall

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ATTRIB +H +S "\\?\%SystemRoot%\Help\Windows\pt-MF\nul\*.*"
'<SYSTEM32>\attrib.exe' +H +S "\\?\%WINDIR%\Help\Windows\pt-MF\nul\*.*"
'<SYSTEM32>\cmd.exe' /c "%SystemRoot%\Help\Windows\pt-MF\nul\spoolvs.exe /silentinstall"
'<SYSTEM32>\attrib.exe' +H +S /D /S "%WINDIR%\Help\Windows\pt-MF"
'<SYSTEM32>\cmd.exe' /c ATTRIB +H +S "%SystemRoot%\System32\wndaudiodrv.exe"
'<SYSTEM32>\attrib.exe' +H +S "<SYSTEM32>\wndaudiodrv.exe"
'<SYSTEM32>\cmd.exe' /c ATTRIB +H +S /D /S "%SystemRoot%\Help\Windows\pt-MF"
'<SYSTEM32>\cmd.exe' /c "%SystemRoot%\Help\Windows\pt-MF\nul\spoolvs.exe /firewall
'<SYSTEM32>\cmd.exe' /k "%SystemRoot%\Help\Windows\pt-MF\nul\spoolvs.exe /start"
'<SYSTEM32>\cmd.exe' /c sc start "Windows Audio Driver"
'<SYSTEM32>\sc.exe' start "Windows Audio Driver"
'<SYSTEM32>\cmd.exe' /c del "%tmp%\nowgns.reg"
'%WINDIR%\regedit.exe' /s %TEMP%\main.reg
'%WINDIR%\regedit.exe' /s %TEMP%\nowgns.reg
'<SYSTEM32>\cmd.exe' /c del "%tmp%\main.reg"
'<SYSTEM32>\cmd.exe' /c del "%TMP%\image7.bmp"
'<SYSTEM32>\cmd.exe' /c del "%TMP%\pck.exe"
'<SYSTEM32>\cmd.exe' /c rd /s /q "\\?\%systemroot%\Help\Windows\pt-MF"
'<SYSTEM32>\attrib.exe' +s +h "%TEMP%\TCD5BBZ.tmp"
'<SYSTEM32>\cmd.exe' /c rd /s /q "%tmp%\TCD5BBZ.tmp"
'<SYSTEM32>\cmd.exe' /c %tmp%\pck.exe x -pe@n@c@r@y@p@t@e@d@hack#me -y "%tmp%\image7.bmp" -o"%tmp%\TCD5BBZ.tmp"
'<SYSTEM32>\cmd.exe' /c ATTRIB +s +h "%tmp%\TCD5BBZ.tmp"
'<SYSTEM32>\cmd.exe' /c MD "\\?\%systemroot%\Help\Windows\pt-MF\nul"
'<SYSTEM32>\cmd.exe' /c "%SystemRoot%\System32\wndaudiodrv.exe /instaudrv"
'<SYSTEM32>\cmd.exe' /c ATTRIB +H +S "%SystemRoot%\System32\audiodrv.exe"
'<SYSTEM32>\attrib.exe' +H +S "<SYSTEM32>\audiodrv.exe"
'<SYSTEM32>\cmd.exe' /c move /y "%TMP%\TCD5BBZ.tmp\stl\wndaudiodrv.exe" "%SystemRoot%\System32"
'<SYSTEM32>\cmd.exe' /c copy "%TMP%\TCD5BBZ.tmp\stl\*.*" "%SystemRoot%\Help\Windows\pt-MF\nul\*.*"
'<SYSTEM32>\cmd.exe' /c move /y "%TMP%\TCD5BBZ.tmp\stl\main.reg" "%tmp%"
'<SYSTEM32>\cmd.exe' /c move /y "%TMP%\TCD5BBZ.tmp\stl\audiodrv.exe" "%SystemRoot%\System32"