Trojan.FakeAV.15544

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\winmgmt] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\SamSs] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Browser] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Eventlog] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Themes] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\lanmanworkstation] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\PlugPlay] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Dhcp] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AudioSrv] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\RpcSs] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Dnscache] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\ProtectedStorage] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\ShellHWDetection] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\seclogon] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Cредство проверки системных файлов (SFC)
Центр обеспечения безопасности (Security Center)

Запускает на исполнение:

'%WINDIR%\regedit.exe' /S Win_Una.reg

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.exe;.bat;.com;.cmd;.reg;.vbs;.inf;.msi;.htm;.html;.swf;.js;.mp3;.mp2;.ape;.apl;.flac;.shn;.mpc;.mp+;.wma;.ogg;.mp4;.aac;.voc;.mid;.mac;.cda;.kar;.midi;.rar;.zip;.wav;.jpg;.gif;.png;.bmp;.jpeg;.doc;.xls;.pls;.pub;.dat;.html;.htm;.avi;mpg;.mpeg;.nfo;.txt;.torrent;.diz;.ppt;.m3u;.sfv;.tar;.htt;.mht;.asp;.aspx;.tiff;.rtf;.ini;.cab;.ico;.icl;.ip;.iptheme;.msstyles;.theme;.dll;.psd;.vbs;.swf;.php;.xaml;.iso;.bin;.cue;.xml;.par;.par2;.ace;.arj;.lzh;.7z;.gz;.bz;.uue;.bz2;.jar;.z;.ade;.adn;.adp;.aia;.img;.date;.aip;.ait;amf;.ani;.aob;.asf;.csv;.fla;.pxr;.wmv;.nrg;.mov;.sav;.xhtml;.php5;.pxr;.m4a;.qxr;.h;.cpp;.pdd;.rle;.dib;.eps;.jpe;.pcx;.pdp;.raw;.pct;.pict;.sct;.tga;.vda;.icd;.vst;.tif;.tpl;.log;.prx;.cdf;.nls;.ax;.msc;.cpl;.EXE;.BAT;.COM;.CMD;.REG;.VBS;.INF;.MSI;.HTM;.HTML;.SWF;.JS;.MP3;.MP2;.APE;.APL;.FLAC;.SHN;.MPC;.MP+;.WMA;.OGG;.MP4;.AAC;.VOC;.MID;.MAC;.CDA;.KAR;.MIDI;.RAR;.ZIP;.WAV;.JPG;.GIF;.PNG;.BMP;.JPEG;.DOC;.XLS;.PLS;.PUB;.DAT;.HTML;.HTM;.AVI;MPG;.MPEG;.NFO;.TXT;.TORRENT;.DIZ;.PPT;.M3U;.SFV;.TAR;.HTT;.MHT;.ASP;.ASPX;.TIFF;.RTF;.INI;.CAB;.ICO;.ICL;.IP;.IPTHEME;.MSSTYLES;.THEME;.DLL;.PSD;.VBS;.SWF;.PHP;.XAML;.ISO;.BIN;.CUE;.XML;.PAR;.PAR2;.ACE;.ARJ;.LZH;.7Z;.GZ;.BZ;.UUE;.BZ2;.JAR;.Z;.ADE;.ADN;.ADP;.AIA;.IMG;.DATE;.AIP;.AIT;AMF;.ANI;.AOB;.ASF;.CSV;.FLA;.PXR;.WMV;.NRG;.MOV;.SAV;.XHTML;.PHP5;.PXR;.M4A;.QXR;.H;.CPP;.PDD;.RLE;.DIB;.EPS;.JPE;.PCX;.PDP;.RAW;.PCT;.PICT;.SCT;.TGA;.VDA;.ICD;.VST;.TIF;.TPL;.LOG;.PRX;.CDF;.NLS;.AX;.MSC;.CPL'
[<HKCU>\Software\Microsoft\Internet Explorer\Download] 'CheckExeSignatures' = 'no'
[<HKCU>\Software\Microsoft\Internet Explorer\Download] 'RunInvalidSignatures' = '00000001'

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы: