Trojan.PWS.UFR.90

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-index.dat
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-index_1.dat
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@tns-counter[1].txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@rad.msn[2].txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@scorecardresearch[1].txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-index_2.dat
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-wiatwain.ds
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-File-Paths.txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-index_5.dat
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-index_3.dat
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-index_4.dat
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-cookies.sqlite
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-key3.db
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\Registry-Grabbing.reg
%HOMEPATH%\Start Menu\Programs\Startup\<Имя вируса>.exe
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\NO_PWDS_report_29-09-2011_19-52-20-HCEI.bin
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-signons.sqlite
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@msnportal.112.2o7[1].txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@msn[2].txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@live[1].txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@atdmt[1].txt
%HOMEPATH%\Start Menu\Programs\Startup\ufr_files\29-09-2011_19-52-20-%USERNAME%@c.msn[1].txt

Вредоносные функции:

Создает и запускает на исполнение:

%HOMEPATH%\Start Menu\Programs\Startup\<Имя вируса>.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:

[<HKCU>\Software\FTPWare\CoreFTP\Sites]
[<HKCU>\Software\Ghisler\Total Commander]
[<HKCU>\Software\FTP Explorer\Profiles]
[<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]
[<HKCU>\Software\CoffeeCup Software\Internet\Profiles]
[<HKCU>\Software\Far2\Plugins\FTP\Hosts]
[<HKCU>\Software\Far\Plugins\FTP\Hosts]
[<HKCU>\Software\Google\Google Talk\Accounts]
[<HKLM>\Software\Ghisler\Total Commander]
[<HKLM>\SOFTWARE\FlashFXP]

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Registry-Grabbing.reg
%TEMP%\29-09-2011_19-52-20-File-Paths.txt
%TEMP%\NO_PWDS_report_29-09-2011_19-52-20-HCEI.bin
%TEMP%\report_29-09-2011_19-52-20-HCEI.bin
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\whatismyip.akamai[1]

Присваивает атрибут 'скрытый' для следующих файлов:

%HOMEPATH%\Start Menu\Programs\Startup\<Имя вируса>.exe

Удаляет следующие файлы:

%TEMP%\Registry-Grabbing.reg
%TEMP%\29-09-2011_19-52-20-File-Paths.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\whatismyip.akamai[1]
%TEMP%\NO_PWDS_report_29-09-2011_19-52-20-HCEI.bin

Сетевая активность:

Подключается к: