BackDoor.Andromeda.178

Техническая информация

Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
  • [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] '26639' = '%ALLUSERSPROFILE%\Local Settings\Temp\ccckuoyit.pif'
Вредоносные функции:
Запускает на исполнение:
  • <SYSTEM32>\wuauclt.exe
Внедряет код в
следующие системные процессы:
  • <SYSTEM32>\wuauclt.exe
Изменения в файловой системе:
Создает следующие файлы:
  • %ALLUSERSPROFILE%\Local Settings\Temp\ccckuoyit.pif
Сетевая активность:
Подключается к:
  • '8.#.8.8':80
  • '20#.#6.232.182':80
TCP:
Запросы HTTP POST:
  • 8.#.8.8/xxxxxxxxx.php
UDP:

Что делает и как в основном распространяется.

http://adultmult.tv/
Распространение с помощью вредоносного спама якобы от популярного интернет-магазина Amazon.com. Тактику могут поменять. Письма содержат предложение загрузить лицензию на Microsoft Windows. Каждое такое сообщение содержит ссылку на веб-страницу, включающую сценарий, при выполнении которого посетитель переадресовывается на другой веб-сайт. В свою очередь этот сайт передает браузеру файл, содержащий JavaScript, при выполнении которого на компьютер пользователя загружаются две вредоносные программы - троян-загрузчик BackDoor.Andromeda.22 и вредоносная программа Trojan.Necurs.97. Вредоносы готовы в любой момент переправить на компьютеры жертв другое вредоносное ПО.

Троян Trojan.Necurs.97 обладает способностью к саморазмножению, а также может инфицировать съемные накопители и общие ресурсы локальной сети. После своего запуска троян создает в отдельной папке исполняемый файл и вносит изменения в системный реестр с целью обеспечить автоматический запуск данного файла в процессе загрузки Windows. Далее троян ищет в памяти запущенные процессы браузеров Internet Explorer и Mozilla Firefox. В случае их обнаружения пытается встроить в них собственный код. Затем Trojan.Necurs.97 пытается скопировать себя на все доступные в системе съемные носители, сохраняя на них собственную копию под случайным именем, после чего создает в корневой папке накопителя файл autorun.inf с целью обеспечения автоматического запуска трояна при каждом подключении устройства.