Trojan.KeyLogger.18810

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Windows Reg Services' = '<SYSTEM32>\ffservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Reg Services' = '<SYSTEM32>\ffservice.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Reg Services' = '<SYSTEM32>\ffservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{a75aed00-d7bf-11d1-9947-00c0Cf98bbc9}] 'StubPath' = '<SYSTEM32>\lservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'DirectX For Microsoft® Windows' = '<SYSTEM32>\fservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{5Y99AE78-58TT-11dW-BE53-Y67078979Y}] 'StubPath' = '%WINDIR%\system\sservice.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe <SYSTEM32>\fservice.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\net1.exe STOP srservice
<SYSTEM32>\net1.exe STOP SharedAccess
<SYSTEM32>\cmd.exe /c %WINDIR%\andresa-melacia@hotmail.exe.bat
<SYSTEM32>\net1.exe STOP navapsvc
<SYSTEM32>\net.exe STOP SharedAccess
<SYSTEM32>\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\0,,15189608-EXH,00.jpg
<SYSTEM32>\net.exe STOP navapsvc
<SYSTEM32>\net.exe STOP srservice

Устанавливает процедуры перхвата сообщений

о нажатии клавиш клавиатуры:

Завершает или пытается завершить

следующие системные процессы:

следующие пользовательские процессы:

Ищет следующие окна с целью

обнаружения утилит для анализа:

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\winkey.dll
%WINDIR%\services.exe
<SYSTEM32>\ffservice.exe
<SYSTEM32>\reginv.dll
<SYSTEM32>\d_service.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\server[1].exe
<SYSTEM32>\lservice.exe
%WINDIR%\down_server.exe
%WINDIR%\andresa-melacia@hotmail.exe
%TEMP%\0,,15189608-EXH,00.jpg
%WINDIR%\system\sservice.exe
<SYSTEM32>\wservice.exe
<SYSTEM32>\fservice.exe

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

www.yo###ite.comhttp://www.yoursite.com/cgi-bin/prorat.cgi?bi#####################################################################################################################################################################################
www.ic#.com/friendship/email_thank_you.php?fo#################################################################################################################################################################################
www.yo###ite.com/server.exe

UDP: