BackDoor.Spy.2741

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\Jklmno Qrstuvwx Abc] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\nahvay.exe' /pid=0x930 /log
'%WINDIR%\nahvay.exe' Win7
'%WINDIR%\nahvay.exe'

Запускает на исполнение:

'<SYSTEM32>\conhost.exe'
'<SYSTEM32>\wermgr.exe' "-queuereporting_svc" "C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_08b72fc6"
'<SYSTEM32>\wermgr.exe' "-queuereporting_svc" "C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_052336c8"
'<SYSTEM32>\wermgr.exe' 0x930 nahvay.exe
'<SYSTEM32>\conhost.exe' Win7
'<SYSTEM32>\wermgr.exe' "-queuereporting_svc" "C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_07d32951"
'<SYSTEM32>\wermgr.exe' "-queuereporting_svc" "C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_cab_08b70d96"
'<SYSTEM32>\wermgr.exe' "-queuereporting_svc" "C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_de297352e792491a843981c9eb48e1040adfa0_cab_09f6e436"
'<SYSTEM32>\wermgr.exe' "-queuereporting_svc" "C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_05131498"
'<SYSTEM32>\taskhost.exe' Win7
'<SYSTEM32>\wermgr.exe' "-queuereporting_svc" "C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_0b0f1adf"

Изменения в файловой системе:

Создает следующие файлы:

C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_022f4a39\Report.wer
<Служебный элемент>
%WINDIR%\nahvay.exe
%WINDIR%\Temp\WER49BC.tmp.appcompat.txt

Удаляет следующие файлы:

%WINDIR%\Temp\WER49BC.tmp.appcompat.txt

Перемещает следующие файлы:

C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_074b3d2e\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_074b3d2e\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_052336c8\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_052336c8\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_08b72fc6\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_08b72fc6\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_0157512b\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_0157512b\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_022f4a39\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_022f4a39\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_0ae343d3\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_0ae343d3\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_05131498\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_05131498\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_cab_08b70d96\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_cab_08b70d96\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_de297352e792491a843981c9eb48e1040adfa0_cab_09f6e436\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_de297352e792491a843981c9eb48e1040adfa0_cab_09f6e436\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_07d32951\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_07d32951\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_055721d2\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_055721d2\Report.wer
C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_0b0f1adf\Report.wer.tmp в C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_nahvay.exe_80ff4c1ff5f9b3b781ac81ebcecab6cdd79b5cb_0b0f1adf\Report.wer