Trojan.Inject1.27803

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\cipher.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\cipher.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'cipher' = '"%APPDATA%\Microsoft\Windows\dllcache\cipher.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'cipher' = '"%APPDATA%\Microsoft\Windows\dllcache\cipher.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\cipher.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\dllcache\cipher.exe'

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
<SYSTEM32>\cmd.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\ctfmon.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\ftsrch.dll
%APPDATA%\Microsoft\Windows\dllcache\edlin.exe
%APPDATA%\Microsoft\Windows\dllcache\g711codc.ax
%APPDATA%\Microsoft\Windows\dllcache\routetab.dll
%APPDATA%\Microsoft\Windows\dllcache\atmpvcno.dll
%APPDATA%\Microsoft\Windows\dllcache\perfdisk.dll
%APPDATA%\Microsoft\Windows\dllcache\qcap.dll
%APPDATA%\Microsoft\Windows\dllcache\rsopprov.exe
%APPDATA%\Microsoft\Windows\dllcache\help.exe
%APPDATA%\Microsoft\Windows\dllcache\kbdes.dll
%APPDATA%\Microsoft\Windows\dllcache\libdns.dll
%APPDATA%\Microsoft\Windows\dllcache\iissuba.dll
%APPDATA%\Microsoft\Windows\dllcache\dbnetlib.dll
%APPDATA%\Microsoft\Windows\dllcache\mciseq.dll
%APPDATA%\Microsoft\Windows\dllcache\taskman.exe
%APPDATA%\Microsoft\Windows\dllcache\kbdsf.dll
%APPDATA%\Microsoft\Windows\dllcache\pagefileconfig.vbs
%APPDATA%\Microsoft\Windows\dllcache\activeds.tlb
%APPDATA%\Microsoft\Windows\dllcache\label.exe
%APPDATA%\Microsoft\Windows\dllcache\hid.dll
%APPDATA%\Microsoft\Windows\dllcache\inetcplc.dll
%APPDATA%\Microsoft\Windows\dllcache\himem.sys
%APPDATA%\Microsoft\Windows\dllcache\emptyregdb.dat
%APPDATA%\Microsoft\Windows\dllcache\webfldrs.msi
%APPDATA%\Microsoft\Windows\dllcache\rasman.dll
%APPDATA%\Microsoft\Windows\dllcache\find.exe
%APPDATA%\Microsoft\Windows\dllcache\fwcfg.dll
%APPDATA%\Microsoft\Windows\dllcache\KBDAL.DLL
%APPDATA%\Microsoft\Windows\dllcache\tcpsvcs.exe
%APPDATA%\Microsoft\Windows\dllcache\compobj.dll
%APPDATA%\Microsoft\Windows\dllcache\racpldlg.dll
%APPDATA%\Microsoft\Windows\dllcache\encdec.dll
%APPDATA%\Microsoft\Windows\dllcache\daxctle.ocx
%APPDATA%\Microsoft\Windows\dllcache\login.cmd
%APPDATA%\Microsoft\Windows\dllcache\sc.exe
%APPDATA%\Microsoft\Windows\dllcache\clbcatq.dll
%APPDATA%\Microsoft\Windows\dllcache\vga64k.dll
%APPDATA%\Microsoft\Windows\dllcache\locator.exe
%APPDATA%\Microsoft\Windows\dllcache\v7vga.rom
%APPDATA%\Microsoft\Windows\dllcache\gdi.exe
%APPDATA%\Microsoft\Windows\dllcache\cacls.exe
%APPDATA%\Microsoft\Windows\dllcache\dskquota.dll
%APPDATA%\Microsoft\Windows\dllcache\mfc100chs.dll
%APPDATA%\Microsoft\Windows\dllcache\mqprfsym.h
%APPDATA%\Microsoft\Windows\dllcache\mcicda.dll
%APPDATA%\Microsoft\Windows\dllcache\vbajet32.dll
%APPDATA%\Microsoft\Windows\dllcache\d3dramp.dll
%APPDATA%\Microsoft\Windows\dllcache\hlink.dll
%APPDATA%\Microsoft\Windows\dllcache\oembios.bin
%APPDATA%\Microsoft\Windows\dllcache\geo.nls
%APPDATA%\Microsoft\Windows\dllcache\advpack.dll
%APPDATA%\Microsoft\Windows\dllcache\userenv.dll
%APPDATA%\Microsoft\Windows\dllcache\narrhook.dll
%APPDATA%\Microsoft\Windows\dllcache\jobexec.dll
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\d8bfec251c7c2f3e206c46a5fa8371d4_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\719680DAA9ACD76D4D58E9644DD47753DDA6F94C
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\d24d2bfd-0219-4f08-9640-543c32624251
%APPDATA%\Microsoft\Windows\dllcache\rasmontr.dll
%APPDATA%\Microsoft\Windows\dllcache\fltlib.dll
C:\Documents and Settings\Default User\Start Menu\Programs\Startup\cipher.lnk
%APPDATA%\Microsoft\Windows\dllcache\cipher.exe
%TEMP%\tmp1.tmp
%APPDATA%\Microsoft\Windows\dllcache\umandlg.dll
%APPDATA%\Microsoft\Windows\dllcache\dfrgntfs.exe
%APPDATA%\Microsoft\Windows\dllcache\oembios.sig
%APPDATA%\Microsoft\Windows\dllcache\w32time.dll
%APPDATA%\Microsoft\Windows\dllcache\blastcln.exe
%APPDATA%\Microsoft\Windows\dllcache\wiasf.ax
%APPDATA%\Microsoft\Windows\dllcache\rdchost.dll
%APPDATA%\Microsoft\Windows\dllcache\ideograf.uce
%APPDATA%\Microsoft\Windows\dllcache\browseui.dll
%APPDATA%\Microsoft\Windows\dllcache\adsldp.dll
%APPDATA%\Microsoft\Windows\dllcache\esentprf.dll
%APPDATA%\Microsoft\Windows\dllcache\mlang.dat
%APPDATA%\Microsoft\Windows\dllcache\regsvc.dll
%APPDATA%\Microsoft\Windows\dllcache\proquota.exe
%APPDATA%\Microsoft\Windows\dllcache\qwinsta.exe
%APPDATA%\Microsoft\Windows\dllcache\iasacct.dll
%APPDATA%\Microsoft\Windows\dllcache\tdc.ocx
%APPDATA%\Microsoft\Windows\dllcache\dataclen.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdtuq.dll
%APPDATA%\Microsoft\Windows\dllcache\occache.dll
%APPDATA%\Microsoft\Windows\dllcache\xcopy.exe
%APPDATA%\Microsoft\Windows\dllcache\safrcdlg.dll