Trojan.PWS.Multi.2088

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe "%APPDATA%\ni2qfe22xot1ishycst3oyrxhynekvx2\csrss.exe"'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:ldrsoft'

Изменения в файловой системе:

Самоперемещается:

из <Полный путь к вирусу> в %APPDATA%\ni2qfe22xot1ishycst3oyrxhynekvx\csrss.exe

Сетевая активность:

Подключается к:

'wa##ri.ru':80

TCP:

Запросы HTTP GET:

http://ya##o.com/img.php?v=############################################################### via wa##ri.ru

UDP:

DNS ASK wa##ri.ru

Другое:

Ищет следующие окна:

ClassName: '??????????????????????E???v?????????????????' WindowName: '????D??????????????????????E???v?????????????????'
ClassName: '???t????Z?????????????p?????????e' WindowName: '?????T???t????Z?????????????p?????????e'
ClassName: '???????????????Y?????T???t????Z?????????????p?????????e' WindowName: '????M???????????????Y?????T???t????Z?????????????p?????????e'
ClassName: '㙘祒楸祙塆杶㌀㙅䕳兣䑐吀坊䑣㕁Y乩癌歸杸㝣T䈲㑲敊t十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇe' WindowName: '䅩浲㔵灲M㙘祒楸祙塆杶㌀㙅䕳兣䑐吀坊䑣㕁Y乩癌歸杸㝣T䈲㑲敊t十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇe'
ClassName: '摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇe' WindowName: '十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇe'
ClassName: '?????????????????' WindowName: '???v?????????????????'
ClassName: '䈲㑲敊t十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇe' WindowName: '乩癌歸杸㝣T䈲㑲敊t十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇe'
ClassName: '?????????????p?????????e' WindowName: '????Z?????????????p?????????e'
ClassName: '??????????????????????E???v????????????????1??????????t?????????E?????????g????M???????????????t?????????r???X????????L???????????????x???????????????????????????P' WindowName: '???...
ClassName: '???t????Z?????????????p??????????????S????????u???????????2??????????????c?????7??????????C???????????f?????????R???f????????????8???F?????A?????N?????' WindowName: '?????T???t????...
ClassName: '???????????????Y?????T???t????Z?????????????p??????????????S????????u???????????2??????????????c?????7??????????C???????????f?????????R???f????????????8???F?????A?????N?????' Windo...
ClassName: '㙘祒楸祙塆杶㌀㙅䕳兣䑐吀坊䑣㕁Y乩癌歸杸㝣T䈲㑲敊t十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇ稀䭧敎䍷夲S獌慈奯婳瑘䨀穗䙊u㍗䙃浃㙑楅䕌礀灗啅乵㑓2湳摲卨杣挀睹兄乃䴱戀桉䑸杙坉c娳堶䩎乂偦7䙐楩䑔瑊唀䅲呐䑺㑱奺C㍚䴱牱㐀瑦煚場最党䡨兡f坢塢煊䱊刀佩䑇关㉕R坁㍪杆f䭤歍瑫呲敹硈䴀㙗䔸奷潳䕷8噫橑㝢F䥘杉商晤照A偌究䅷歒煲N婌㡔㉦牭倱' Windo...
ClassName: '摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇ稀䭧敎䍷夲S獌慈奯婳瑘䨀穗䙊u㍗䙃浃㙑楅䕌礀灗啅乵㑓2湳摲卨杣挀睹兄乃䴱戀桉䑸杙坉c娳堶䩎乂偦7䙐楩䑔瑊唀䅲呐䑺㑱奺C㍚䴱牱㐀瑦煚場最党䡨兡f坢塢煊䱊刀佩䑇关㉕R坁㍪杆f䭤歍瑫呲敹硈䴀㙗䔸奷潳䕷8噫橑㝢F䥘杉商晤照A偌究䅷歒煲N婌㡔㉦牭倱' WindowName: '十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨...
ClassName: '????????????????1??????????t?????????E?????????g????M???????????????t?????????r???X????????L???????????????x???????????????????????????P' WindowName: '???v????????????????1?????????...
ClassName: '䈲㑲敊t十䝗瑘偖Z摭桦䕧樀圶呰癱愀䥘兄塔歐䑕p湴䍏ㅔ睨摃ﾼ瑊噄ㅇ稀䭧敎䍷夲S獌慈奯婳瑘䨀穗䙊u㍗䙃浃㙑楅䕌礀灗啅乵㑓2湳摲卨杣挀睹兄乃䴱戀桉䑸杙坉c娳堶䩎乂偦7䙐楩䑔瑊唀䅲呐䑺㑱奺C㍚䴱牱㐀瑦煚場最党䡨兡f坢塢煊䱊刀佩䑇关㉕R坁㍪杆f䭤歍瑫呲敹硈䴀㙗䔸奷潳䕷8噫橑㝢F䥘杉商晤照A偌究䅷歒煲N婌㡔㉦牭倱' WindowName: '乩癌歸杸㝣T䈲㑲敊t十䝗瑘偖...
ClassName: '?????????????p??????????????S????????u???????????2??????????????c?????7??????????C???????????f?????????R???f????????????8???F?????A?????N?????' WindowName: '????Z?????????????p????...