Резюме

• Trojan-Dropper. Скрытно устанавливает в систему другие вредоносные программы

• Trojan. Выполняет действия, характерные для вредоносных программ

• Осуществляет сетевую активность

Технические детали

Имеет размер 28672 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• Каталог ОС Windows (обычно, C:\Windows)%Windir%\system/keyboarp.exe

Вредоносная активность

Создает следующие файлы:

• Каталог ОС Windows (обычно, C:\Windows)%Windir%\system/mciwaj.exe
• Каталог ОС Windows (обычно, C:\Windows)%Windir%\system/lzexpanf.exe
• c:\winmsn.exe

После чего обеспечивается Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузка установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ] "mciwaj" = " Каталог ОС Windows (обычно, C:\Windows)%Windir%\system\mciwaj.exe"

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ] "lzexpanf" = " Каталог ОС Windows (обычно, C:\Windows)%Windir%\system\lzexpanf.exe"

Следующие файлы запускаются на исполнение:

• c:\winmsn.exe

Изменяет состояние следующих системных служб:

Имя службы:	SharedAccess
Состояние:	­остановлена­

Создает соединение со следующими адресами в Интернете:

• ***.98.196.216:39173

Обращается к следующим адресам в Интернете:

• http://***llc.com/images/M_images/keyboarp.jpg
• http://***llc.com/images/M_images/mciwaj.jpg
• http://***llc.com/images/M_images/lzexpanf.jpg
• http://***llc.com/images/M_images/winmsn.jpg

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• ZonesCounterMutex
• ZonesCacheCounterMutex
• ZonesLockedCacheCounterMutex
• RasPbFile

Пытается найти файлы на компьютере пользователя по следующим маскам:

• Program Files*.*
• *.*
• Downloaded Program Files*.*
• *.dbx
• *.wab
• *.mbx
• *.mai
• *.eml
• *.tbb
• *.mbox

Прочие действия

Производит запуск следующих файлов (команд):

• Каталог ОС Windows (обычно, C:\Windows)%Windir%\system\keyboarp.exe
• Каталог ОС Windows (обычно, C:\Windows)%Windir%\system\mciwaj.exe
• Каталог ОС Windows (обычно, C:\Windows)%Windir%\system\lzexpanf.exe

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Description\Microsoft\Rpc\UuidTemporaryData ] "NetworkAddressLocal" = "0x0"

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\MSSQLServer\Client\SuperSocketNetLib\LastConnect ] "dbsq0016.whservidor.com" = "-1022427127:tcp:dbsq0016.whservidor.com,1433"

17 апреля 2024 года