Trojan.DisableSR.40

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpuc' = '"%TEMP%\lsass.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpuc' = '"%TEMP%\lsass.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrrb' = '"%TEMP%\taskmgr.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrta' = '"%TEMP%\services.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKee' = '%WINDIR%\user.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKee' = '%WINDIR%\user.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrta' = '"%TEMP%\services.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRmSc' = '"%TEMP%\avp32.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKbta' = '%WINDIR%\install.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKbta' = '%WINDIR%\install.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRmSc' = '"%TEMP%\avp32.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrrb' = '"%TEMP%\taskmgr.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKerb' = '%WINDIR%\taskmgr.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKerb' = '%WINDIR%\taskmgr.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrxe' = '"%TEMP%\system.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrxe' = '"%TEMP%\system.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrtc' = '"%TEMP%\sysedit.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKfsc' = '%WINDIR%\winlogon.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKcZ' = '%WINDIR%\mdm.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKcZ' = '%WINDIR%\mdm.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKfsc' = '%WINDIR%\winlogon.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKevc' = '%WINDIR%\setup.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRsPc' = '"%TEMP%\win32.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRsPc' = '"%TEMP%\win32.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKevc' = '%WINDIR%\setup.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrtc' = '"%TEMP%\sysedit.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpZ' = '"%TEMP%\mdm.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpZ' = '"%TEMP%\mdm.exe"'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует запуск следующих системных утилит:

Редактора реестра (RegEdit)

блокирует:

Компонент восстановления системы (SR)

Создает и запускает на исполнение:

%WINDIR%\user.exe
%WINDIR%\taskmgr.exe
%WINDIR%\install.exe
%WINDIR%\mdm.exe
%WINDIR%\winlogon.exe
%WINDIR%\setup.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\lsass.exe
%TEMP%\taskmgr.exe
%WINDIR%\user.exe
%TEMP%\services.exe
%WINDIR%\install.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\mn[1].php
%WINDIR%\taskmgr.exe
%TEMP%\avp32.exe
%TEMP%\system.exe
%TEMP%\sysedit.exe
%WINDIR%\mdm.exe
%WINDIR%\winlogon.exe
%WINDIR%\setup.exe
%TEMP%\win32.exe
%TEMP%\cvfj378malfffieia.tmp
%TEMP%\mdm.exe