Trojan.AutoIt.1237

Technical Information

To ensure autorun and distribution

Modifies the following registry keys

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\xmvd\GFPNOR~1.EXE %APPDATA%\xmvd\BGOTIF~1.PDF'
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\xmvd\GFPNOR~2.EXE %APPDATA%\xmvd\BGOTIF~1.PDF'
[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'xmvd' = '%APPDATA%\xmvd\start.vbs'

Creates or modifies the following files

%APPDATA%\microsoft\windows\start menu\programs\startup\start.lnk

Malicious functions

Injects code into

the following user processes:

regsvcs.exe

Modifies file system

Creates the following files

%TEMP%\rarsfx0\orxl.bkl
%APPDATA%\xmvd\glodsum.dll
%APPDATA%\xmvd\gmwseu.xl
%APPDATA%\xmvd\gnqhjq.msc
%APPDATA%\xmvd\gsnsltjtt.xls
%APPDATA%\xmvd\heene.bmp
%APPDATA%\xmvd\heqpj.pdf
%APPDATA%\xmvd\hrsr.icm
%APPDATA%\xmvd\iabe.xl
%APPDATA%\xmvd\ikdg.docx
%APPDATA%\xmvd\jcsr.dll
%APPDATA%\xmvd\jseb.dat
%APPDATA%\xmvd\jtmqw.ppt
%APPDATA%\xmvd\kjcmhcp.dll
%APPDATA%\xmvd\ktah.txt
%APPDATA%\xmvd\lihavrrxh.ini
%APPDATA%\xmvd\lklhv.msc
%APPDATA%\xmvd\lxgi.xl
%APPDATA%\xmvd\gfpnorxkr.jpg.exe
%APPDATA%\xmvd\mfdu.docx
%APPDATA%\xmvd\gfpnorxkr.jpg
%APPDATA%\xmvd\fugnnoww.txt
%APPDATA%\xmvd\apjmnlvcre.bin
%APPDATA%\xmvd\axmmji.txt
%APPDATA%\xmvd\bgotifmkk.pdf
%APPDATA%\xmvd\ciugv.ppt
%APPDATA%\xmvd\dldsxvu.dll
%APPDATA%\xmvd\dogmbbve.xls
%APPDATA%\xmvd\dpnkx.dll
%APPDATA%\xmvd\dpts.xl
%APPDATA%\xmvd\dsfkka.exe
%APPDATA%\xmvd\eef-k.vbe
%APPDATA%\xmvd\efxq.ppt
%APPDATA%\xmvd\fahxchqdxj.xml
%APPDATA%\xmvd\fgsqwsxw.xl
%APPDATA%\xmvd\fgxrh.exe
%APPDATA%\xmvd\frvp.icm
%APPDATA%\xmvd\fsdvd.xml
%APPDATA%\xmvd\ftlqukwf.icm
%APPDATA%\xmvd\gcquas.ini
%APPDATA%\xmvd\sxqbljuq.docx
%TEMP%\regsvcs.exe
%APPDATA%\xmvd\njomqw.exe
%APPDATA%\xmvd\tdnw.txt
%APPDATA%\xmvd\tfkmov.docx
%APPDATA%\xmvd\tmwxnvippm.msc
%APPDATA%\xmvd\ujehh.jpg
%APPDATA%\xmvd\uucsljo.xl
%APPDATA%\xmvd\uvsh.xl
%APPDATA%\xmvd\vmmafni.icm
%APPDATA%\xmvd\vsjx.exe
%APPDATA%\xmvd\vtvg.ini
%APPDATA%\xmvd\vxnnuppmhv.exe
%APPDATA%\xmvd\wurwfag.xl
%APPDATA%\xmvd\xklrkqsxbq.msc
%APPDATA%\xmvd\xtqahnwjg.pdf
%TEMP%\rarsfx0\gfpnorxkr.jpg.exe.exe
%APPDATA%\xmvd\gfpnorxkr.jpg.exe.exe
%APPDATA%\xmvd\start.vbs
%APPDATA%\xmvd\start.cmd
%APPDATA%\xmvd\tbjiilrpk.dll
%APPDATA%\xmvd\aosgct.dat
%APPDATA%\xmvd\tamqsigx.msc
%APPDATA%\xmvd\supd.bin
%APPDATA%\xmvd\nmeqmnbrb.docx
%APPDATA%\xmvd\nqnpbetmkf.icm
%APPDATA%\xmvd\oeqvaiieet.icm
%APPDATA%\xmvd\ogchoscv.docx
%APPDATA%\xmvd\orxl.bkl
%APPDATA%\xmvd\owufl.xls
%APPDATA%\xmvd\pihi.xl
%APPDATA%\xmvd\psoofrh.docx
%APPDATA%\xmvd\pwnivdv.ini
%APPDATA%\xmvd\qlgd.msc
%APPDATA%\xmvd\rbrrwkbw.txt
%APPDATA%\xmvd\rgmrrodouq.dll
%APPDATA%\xmvd\rqfxw.ppt
%APPDATA%\xmvd\rssxltpqdu.ppt
%APPDATA%\xmvd\rwwhdnx.pdf
%APPDATA%\xmvd\rxfwlk.ini
%APPDATA%\xmvd\stct.xml
%APPDATA%\xmvd\nbksbc.bin
%APPDATA%\xmvd\nixvinxnvd.xml
%APPDATA%\xmvd\anfovsjbk.msc
%TEMP%\rarsfx0\iabe.xl
%TEMP%\rarsfx0\gcquas.ini
%TEMP%\rarsfx0\nixvinxnvd.xml
%TEMP%\rarsfx0\tbjiilrpk.dll
%TEMP%\rarsfx0\rssxltpqdu.ppt
%TEMP%\rarsfx0\gmwseu.xl
%TEMP%\rarsfx0\anfovsjbk.msc
%TEMP%\rarsfx0\hrsr.icm
%TEMP%\rarsfx0\psoofrh.docx
%TEMP%\rarsfx0\fsdvd.xml
%TEMP%\rarsfx0\dpnkx.dll
%TEMP%\rarsfx0\jtmqw.ppt
%TEMP%\rarsfx0\uvsh.xl
%TEMP%\rarsfx0\tamqsigx.msc
%TEMP%\rarsfx0\oeqvaiieet.icm
%TEMP%\rarsfx0\vmmafni.icm
%TEMP%\rarsfx0\nmeqmnbrb.docx
%TEMP%\rarsfx0\tdnw.txt
%TEMP%\rarsfx0\amdk.bin
%TEMP%\rarsfx0\gnqhjq.msc
%TEMP%\rarsfx0\sxqbljuq.docx
%TEMP%\rarsfx0\ciugv.ppt
%TEMP%\rarsfx0\pihi.xl
%TEMP%\rarsfx0\bgotifmkk.pdf
%TEMP%\rarsfx0\eef-k.vbe
%TEMP%\rarsfx0\gfpnorxkr.jpg
%TEMP%\rarsfx0\aecwvmlkt.ppt
%TEMP%\rarsfx0\dldsxvu.dll
%TEMP%\rarsfx0\lxgi.xl
%TEMP%\rarsfx0\ktah.txt
%TEMP%\rarsfx0\apjmnlvcre.bin
%TEMP%\rarsfx0\supd.bin
%TEMP%\rarsfx0\fgsqwsxw.xl
%TEMP%\rarsfx0\axmmji.txt
%TEMP%\rarsfx0\gsnsltjtt.xls
%TEMP%\rarsfx0\ftlqukwf.icm
%TEMP%\rarsfx0\qlgd.msc
%TEMP%\rarsfx0\ujehh.jpg
%TEMP%\rarsfx0\xtqahnwjg.pdf
%TEMP%\rarsfx0\nbksbc.bin
%TEMP%\rarsfx0\aosgct.dat
%APPDATA%\xmvd\aecwvmlkt.ppt
%TEMP%\rarsfx0\frvp.icm
%TEMP%\rarsfx0\fgxrh.exe
%TEMP%\rarsfx0\vxnnuppmhv.exe
%TEMP%\rarsfx0\vtvg.ini
%TEMP%\rarsfx0\xklrkqsxbq.msc
%TEMP%\rarsfx0\owufl.xls
%TEMP%\rarsfx0\heene.bmp
%TEMP%\rarsfx0\tmwxnvippm.msc
%TEMP%\rarsfx0\fahxchqdxj.xml
%TEMP%\rarsfx0\stct.xml
%TEMP%\rarsfx0\dpts.xl
%TEMP%\rarsfx0\wurwfag.xl
%TEMP%\rarsfx0\tfkmov.docx
%TEMP%\rarsfx0\lklhv.msc
%TEMP%\rarsfx0\rwwhdnx.pdf
%TEMP%\rarsfx0\jseb.dat
%HOMEPATH%\temp\pihi.xl
%TEMP%\rarsfx0\gfpnorxkr.jpg.exe
%TEMP%\rarsfx0\rxfwlk.ini
%APPDATA%\xmvd\amdk.bin
%TEMP%\rarsfx0\ogchoscv.docx
%TEMP%\rarsfx0\dsfkka.exe
%TEMP%\rarsfx0\fugnnoww.txt
%TEMP%\rarsfx0\rqfxw.ppt
%TEMP%\rarsfx0\pwnivdv.ini
%TEMP%\rarsfx0\nqnpbetmkf.icm
%TEMP%\rarsfx0\mfdu.docx
%TEMP%\rarsfx0\glodsum.dll
%TEMP%\rarsfx0\rbrrwkbw.txt
%TEMP%\rarsfx0\vsjx.exe
%TEMP%\rarsfx0\rgmrrodouq.dll
%TEMP%\rarsfx0\heqpj.pdf
%TEMP%\rarsfx0\jcsr.dll
%TEMP%\rarsfx0\uucsljo.xl
%TEMP%\rarsfx0\ikdg.docx
%TEMP%\rarsfx0\kjcmhcp.dll
%TEMP%\rarsfx0\dogmbbve.xls
%TEMP%\rarsfx0\efxq.ppt
%TEMP%\rarsfx0\njomqw.exe
%TEMP%\rarsfx0\lihavrrxh.ini
C:\umniuyans\logs.dat

Sets the 'hidden' attribute to the following files

%APPDATA%\xmvd\aecwvmlkt.ppt
%APPDATA%\xmvd\rgmrrodouq.dll
%APPDATA%\xmvd\rbrrwkbw.txt
%APPDATA%\xmvd\qlgd.msc
%APPDATA%\xmvd\pwnivdv.ini
%APPDATA%\xmvd\psoofrh.docx
%APPDATA%\xmvd\pihi.xl
%APPDATA%\xmvd\owufl.xls
%APPDATA%\xmvd\rqfxw.ppt
%APPDATA%\xmvd\orxl.bkl
%APPDATA%\xmvd\oeqvaiieet.icm
%APPDATA%\xmvd\nqnpbetmkf.icm
%APPDATA%\xmvd\nmeqmnbrb.docx
%APPDATA%\xmvd\njomqw.exe
%APPDATA%\xmvd\nixvinxnvd.xml
%APPDATA%\xmvd\nbksbc.bin
%APPDATA%\xmvd\mfdu.docx
%APPDATA%\xmvd\ogchoscv.docx
%APPDATA%\xmvd\rssxltpqdu.ppt
%APPDATA%\xmvd\rwwhdnx.pdf
%APPDATA%\xmvd\rxfwlk.ini
%APPDATA%\xmvd\xklrkqsxbq.msc
%APPDATA%\xmvd\wurwfag.xl
%APPDATA%\xmvd\vxnnuppmhv.exe
%APPDATA%\xmvd\vtvg.ini
%APPDATA%\xmvd\vsjx.exe
%APPDATA%\xmvd\vmmafni.icm
%APPDATA%\xmvd\uvsh.xl
%APPDATA%\xmvd\uucsljo.xl
%APPDATA%\xmvd\ujehh.jpg
%APPDATA%\xmvd\tmwxnvippm.msc
%APPDATA%\xmvd\tfkmov.docx
%APPDATA%\xmvd\tdnw.txt
%APPDATA%\xmvd\tbjiilrpk.dll
%APPDATA%\xmvd\tamqsigx.msc
%APPDATA%\xmvd\sxqbljuq.docx
%APPDATA%\xmvd\supd.bin
%APPDATA%\xmvd\stct.xml
%APPDATA%\xmvd\lxgi.xl
%APPDATA%\xmvd\xtqahnwjg.pdf
%APPDATA%\xmvd\lklhv.msc
%APPDATA%\xmvd\ktah.txt
%APPDATA%\xmvd\fgsqwsxw.xl
%APPDATA%\xmvd\fahxchqdxj.xml
%APPDATA%\xmvd\efxq.ppt
%APPDATA%\xmvd\eef-k.vbe
%APPDATA%\xmvd\dsfkka.exe
%APPDATA%\xmvd\dpts.xl
%APPDATA%\xmvd\dpnkx.dll
%APPDATA%\xmvd\fgxrh.exe
%APPDATA%\xmvd\dogmbbve.xls
%APPDATA%\xmvd\ciugv.ppt
%APPDATA%\xmvd\bgotifmkk.pdf
%APPDATA%\xmvd\axmmji.txt
%APPDATA%\xmvd\apjmnlvcre.bin
%APPDATA%\xmvd\aosgct.dat
%APPDATA%\xmvd\anfovsjbk.msc
%APPDATA%\xmvd\amdk.bin
%APPDATA%\xmvd\dldsxvu.dll
%APPDATA%\xmvd\frvp.icm
%APPDATA%\xmvd\fsdvd.xml
%APPDATA%\xmvd\ftlqukwf.icm
%APPDATA%\xmvd\kjcmhcp.dll
%APPDATA%\xmvd\jtmqw.ppt
%APPDATA%\xmvd\jseb.dat
%APPDATA%\xmvd\jcsr.dll
%APPDATA%\xmvd\ikdg.docx
%APPDATA%\xmvd\iabe.xl
%APPDATA%\xmvd\hrsr.icm
%APPDATA%\xmvd\heqpj.pdf
%APPDATA%\xmvd\heene.bmp
%APPDATA%\xmvd\gsnsltjtt.xls
%APPDATA%\xmvd\gnqhjq.msc
%APPDATA%\xmvd\gmwseu.xl
%APPDATA%\xmvd\glodsum.dll
%APPDATA%\xmvd\gfpnorxkr.jpg.exe
%APPDATA%\xmvd\gfpnorxkr.jpg
%APPDATA%\xmvd\gcquas.ini
%APPDATA%\xmvd\fugnnoww.txt
%APPDATA%\xmvd\lihavrrxh.ini
%APPDATA%\xmvd\gfpnorxkr.jpg.exe.exe

Deletes the following files

%TEMP%\rarsfx0\gfpnorxkr.jpg
%APPDATA%\xmvd\rbrrwkbw.txt
%APPDATA%\xmvd\qlgd.msc
%APPDATA%\xmvd\pwnivdv.ini
%APPDATA%\xmvd\psoofrh.docx
%APPDATA%\xmvd\pihi.xl
%APPDATA%\xmvd\owufl.xls
%APPDATA%\xmvd\orxl.bkl
%APPDATA%\xmvd\rgmrrodouq.dll
%APPDATA%\xmvd\ogchoscv.docx
%APPDATA%\xmvd\nqnpbetmkf.icm
%APPDATA%\xmvd\nmeqmnbrb.docx
%APPDATA%\xmvd\njomqw.exe
%APPDATA%\xmvd\nixvinxnvd.xml
%APPDATA%\xmvd\nbksbc.bin
%APPDATA%\xmvd\mfdu.docx
%APPDATA%\xmvd\lxgi.xl
%APPDATA%\xmvd\oeqvaiieet.icm
%APPDATA%\xmvd\rqfxw.ppt
%APPDATA%\xmvd\rssxltpqdu.ppt
%APPDATA%\xmvd\rwwhdnx.pdf
%APPDATA%\xmvd\wurwfag.xl
%APPDATA%\xmvd\vxnnuppmhv.exe
%APPDATA%\xmvd\vtvg.ini
%APPDATA%\xmvd\vsjx.exe
%APPDATA%\xmvd\vmmafni.icm
%APPDATA%\xmvd\uvsh.xl
%APPDATA%\xmvd\uucsljo.xl
%APPDATA%\xmvd\ujehh.jpg
%APPDATA%\xmvd\tmwxnvippm.msc
%APPDATA%\xmvd\tfkmov.docx
%APPDATA%\xmvd\tdnw.txt
%APPDATA%\xmvd\tbjiilrpk.dll
%APPDATA%\xmvd\tamqsigx.msc
%APPDATA%\xmvd\sxqbljuq.docx
%APPDATA%\xmvd\supd.bin
%APPDATA%\xmvd\stct.xml
%APPDATA%\xmvd\rxfwlk.ini
%APPDATA%\xmvd\lklhv.msc
%APPDATA%\xmvd\xklrkqsxbq.msc
%APPDATA%\xmvd\lihavrrxh.ini
%APPDATA%\xmvd\kjcmhcp.dll
%APPDATA%\xmvd\efxq.ppt
%APPDATA%\xmvd\eef-k.vbe
%APPDATA%\xmvd\dsfkka.exe
%APPDATA%\xmvd\dpts.xl
%APPDATA%\xmvd\dpnkx.dll
%APPDATA%\xmvd\dogmbbve.xls
%APPDATA%\xmvd\dldsxvu.dll
%APPDATA%\xmvd\fahxchqdxj.xml
%APPDATA%\xmvd\ciugv.ppt
%APPDATA%\xmvd\axmmji.txt
%APPDATA%\xmvd\apjmnlvcre.bin
%APPDATA%\xmvd\aosgct.dat
%APPDATA%\xmvd\anfovsjbk.msc
%APPDATA%\xmvd\amdk.bin
%APPDATA%\xmvd\aecwvmlkt.ppt
%TEMP%\rarsfx0\gfpnorxkr.jpg.exe
%APPDATA%\xmvd\bgotifmkk.pdf
%APPDATA%\xmvd\fgsqwsxw.xl
%APPDATA%\xmvd\fgxrh.exe
%APPDATA%\xmvd\frvp.icm
%APPDATA%\xmvd\jtmqw.ppt
%APPDATA%\xmvd\jseb.dat
%APPDATA%\xmvd\jcsr.dll
%APPDATA%\xmvd\ikdg.docx
%APPDATA%\xmvd\iabe.xl
%APPDATA%\xmvd\hrsr.icm
%APPDATA%\xmvd\heqpj.pdf
%APPDATA%\xmvd\heene.bmp
%APPDATA%\xmvd\gsnsltjtt.xls
%APPDATA%\xmvd\gnqhjq.msc
%APPDATA%\xmvd\gmwseu.xl
%APPDATA%\xmvd\glodsum.dll
%APPDATA%\xmvd\gfpnorxkr.jpg
%APPDATA%\xmvd\gcquas.ini
%APPDATA%\xmvd\fugnnoww.txt
%APPDATA%\xmvd\ftlqukwf.icm
%APPDATA%\xmvd\fsdvd.xml
%APPDATA%\xmvd\ktah.txt
%APPDATA%\xmvd\xtqahnwjg.pdf

Substitutes the following files

%APPDATA%\xmvd\aecwvmlkt.ppt
%APPDATA%\xmvd\lxgi.xl
%APPDATA%\xmvd\nbksbc.bin
%APPDATA%\xmvd\njomqw.exe
%APPDATA%\xmvd\nqnpbetmkf.icm
%APPDATA%\xmvd\oeqvaiieet.icm
%APPDATA%\xmvd\orxl.bkl
%APPDATA%\xmvd\pihi.xl
%APPDATA%\xmvd\pwnivdv.ini
%APPDATA%\xmvd\qlgd.msc
%APPDATA%\xmvd\rbrrwkbw.txt
%APPDATA%\xmvd\lihavrrxh.ini
%APPDATA%\xmvd\lklhv.msc
%APPDATA%\xmvd\rgmrrodouq.dll
%APPDATA%\xmvd\tamqsigx.msc
%APPDATA%\xmvd\tbjiilrpk.dll
%APPDATA%\xmvd\tdnw.txt
%APPDATA%\xmvd\tmwxnvippm.msc
%APPDATA%\xmvd\uucsljo.xl
%APPDATA%\xmvd\uvsh.xl
%APPDATA%\xmvd\vmmafni.icm
%APPDATA%\xmvd\vsjx.exe
%APPDATA%\xmvd\vtvg.ini
%APPDATA%\xmvd\vxnnuppmhv.exe
%APPDATA%\xmvd\rxfwlk.ini
%APPDATA%\xmvd\supd.bin
%APPDATA%\xmvd\ktah.txt
%APPDATA%\xmvd\kjcmhcp.dll
%APPDATA%\xmvd\jcsr.dll
%APPDATA%\xmvd\anfovsjbk.msc
%APPDATA%\xmvd\aosgct.dat
%APPDATA%\xmvd\apjmnlvcre.bin
%APPDATA%\xmvd\axmmji.txt
%APPDATA%\xmvd\bgotifmkk.pdf
%APPDATA%\xmvd\ciugv.ppt
%APPDATA%\xmvd\dldsxvu.dll
%APPDATA%\xmvd\dogmbbve.xls
%APPDATA%\xmvd\dpnkx.dll
%APPDATA%\xmvd\dpts.xl
%APPDATA%\xmvd\dsfkka.exe
%APPDATA%\xmvd\amdk.bin
%APPDATA%\xmvd\eef-k.vbe
%APPDATA%\xmvd\fgsqwsxw.xl
%APPDATA%\xmvd\fgxrh.exe
%APPDATA%\xmvd\frvp.icm
%APPDATA%\xmvd\ftlqukwf.icm
%APPDATA%\xmvd\fugnnoww.txt
%APPDATA%\xmvd\gcquas.ini
%APPDATA%\xmvd\glodsum.dll
%APPDATA%\xmvd\gmwseu.xl
%APPDATA%\xmvd\gnqhjq.msc
%APPDATA%\xmvd\hrsr.icm
%APPDATA%\xmvd\iabe.xl
%APPDATA%\xmvd\efxq.ppt
%APPDATA%\xmvd\wurwfag.xl
%APPDATA%\xmvd\xklrkqsxbq.msc

Modifies user data files (Trojan.Encoder).

Network activity

Connects to

'se#######.disenospublici.info':5507

UDP

DNS ASK se#######.disenospublici.info
'localhost':56251
'localhost':61707
'localhost':61329

Miscellaneous

Searches for the following windows

ClassName: 'EDIT' WindowName: ''

Creates and executes the following

'%TEMP%\rarsfx0\gfpnorxkr.jpg' bgotifmkk.pdf
'%TEMP%\regsvcs.exe'
'<SYSTEM32>\cmd.exe' /c ipconfig /release' (with hidden window)
'<SYSTEM32>\cmd.exe' /c gfpnorxkr.jpg bgotifmkk.pdf' (with hidden window)
'<SYSTEM32>\cmd.exe' /c ipconfig /renew' (with hidden window)

Executes the following

'<SYSTEM32>\wscript.exe' eef-k.vbe
'<SYSTEM32>\cmd.exe' /c ipconfig /release
'<SYSTEM32>\cmd.exe' /c gfpnorxkr.jpg bgotifmkk.pdf
'<SYSTEM32>\ipconfig.exe' /release
'<SYSTEM32>\cmd.exe' /c ipconfig /renew
'<SYSTEM32>\ipconfig.exe' /renew

Технологии

Термины

Обучение и просвещение

Мифы

Technical Information

Рекомендации по лечению

Демо бесплатно на 14 дней