Trojan.Inject1.25612

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ddeshare' = '"%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'ddeshare' = '"%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ddeshare.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe'
'%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe' "<Полный путь к вирусу>"

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\ctfmon.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\mag_hook.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdca.dll
%APPDATA%\Microsoft\Windows\dllcache\odbcp32r.dll
%APPDATA%\Microsoft\Windows\dllcache\access.cpl
%APPDATA%\Microsoft\Windows\dllcache\mdhcp.dll
%APPDATA%\Microsoft\Windows\dllcache\qasf.dll
%APPDATA%\Microsoft\Windows\dllcache\kanji_1.uce
%APPDATA%\Microsoft\Windows\dllcache\mll_mtf.dll
%APPDATA%\Microsoft\Windows\dllcache\qdvd.dll
%APPDATA%\Microsoft\Windows\dllcache\tree.com
%APPDATA%\Microsoft\Windows\dllcache\gb2312.uce
%APPDATA%\Microsoft\Windows\dllcache\vbscript.dll
%APPDATA%\Microsoft\Windows\dllcache\fontview.exe
%APPDATA%\Microsoft\Windows\dllcache\pagefileconfig.vbs
%APPDATA%\Microsoft\Windows\dllcache\help.exe
%APPDATA%\Microsoft\Windows\dllcache\tapisrv.dll
%APPDATA%\Microsoft\Windows\dllcache\umandlg.dll
%APPDATA%\Microsoft\Windows\dllcache\vfp9renu.dll
%APPDATA%\Microsoft\Windows\dllcache\rasrad.dll
%APPDATA%\Microsoft\Windows\dllcache\langwrbk.dll
%APPDATA%\Microsoft\Windows\dllcache\mchgrcoi.dll
%APPDATA%\Microsoft\Windows\dllcache\msnetobj.dll
%APPDATA%\Microsoft\Windows\dllcache\tslabels.h
%APPDATA%\Microsoft\Windows\dllcache\kbdsf.dll
%APPDATA%\Microsoft\Windows\dllcache\icwphbk.dll
%APPDATA%\Microsoft\Windows\dllcache\plugin.ocx
%APPDATA%\Microsoft\Windows\dllcache\tcpsvcs.exe
%APPDATA%\Microsoft\Windows\dllcache\login.cmd
%APPDATA%\Microsoft\Windows\dllcache\txflog.dll
%APPDATA%\Microsoft\Windows\dllcache\scriptpw.dll
%APPDATA%\Microsoft\Windows\dllcache\h323msp.dll
%APPDATA%\Microsoft\Windows\dllcache\mciseq.dll
%APPDATA%\Microsoft\Windows\dllcache\eventvwr.exe
%APPDATA%\Microsoft\Windows\dllcache\browselc.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdtuq.dll
%APPDATA%\Microsoft\Windows\dllcache\ega.cpi
%APPDATA%\Microsoft\Windows\dllcache\perfdisk.dll
%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
C:\Documents and Settings\Default User\Start Menu\Programs\Startup\ddeshare.lnk
%APPDATA%\Microsoft\Windows\dllcache\eventlog.dll
%APPDATA%\Microsoft\Windows\dllcache\oakley.dll
%APPDATA%\Microsoft\Windows\dllcache\devmgmt.msc
%APPDATA%\Microsoft\Windows\dllcache\urlmon.dll
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\73330249-b96d-441f-949c-e7fa085484c6
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe
%TEMP%\tmp1.tmp
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\75f590143f7d0b09f18d9b73c5cd6875_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\9CC2B71B685802A98D92D2F31495540DAD442313
%APPDATA%\Microsoft\Windows\dllcache\ulib.dll
%APPDATA%\Microsoft\Windows\dllcache\rasautou.exe
%APPDATA%\Microsoft\Windows\dllcache\jobexec.dll
%APPDATA%\Microsoft\Windows\dllcache\licwmi.dll
%APPDATA%\Microsoft\Windows\dllcache\lnkstub.exe
%APPDATA%\Microsoft\Windows\dllcache\kb16.com
%APPDATA%\Microsoft\Windows\dllcache\qedit.dll
%APPDATA%\Microsoft\Windows\dllcache\camocx.dll
%APPDATA%\Microsoft\Windows\dllcache\shgina.dll
%APPDATA%\Microsoft\Windows\dllcache\oembios.sig
%APPDATA%\Microsoft\Windows\dllcache\usrcntra.dll
%APPDATA%\Microsoft\Windows\dllcache\odbcbcp.dll
%APPDATA%\Microsoft\Windows\dllcache\wowdeb.exe
%APPDATA%\Microsoft\Windows\dllcache\encdec.dll
%APPDATA%\Microsoft\Windows\dllcache\blackbox.dll
%APPDATA%\Microsoft\Windows\dllcache\wiasf.ax
%APPDATA%\Microsoft\Windows\dllcache\hhctrl.ocx
%APPDATA%\Microsoft\Windows\dllcache\find.exe

Удаляет следующие файлы:

%TEMP%\tmp1.tmp
%TEMP%\tmp4.tmp
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe

Перемещает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp в %APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp в %APPDATA%\Microsoft\Windows\dllcache\ddeshare.exe

Самоудаляется.

Сетевая активность:

Подключается к: