Trojan.Win32. Agent.cyzi

Троянская программа, загружающая файлы из сети Интернет без ведома пользователя и запускающая их. Является приложением Windows (PE-EXE файл). Имеет размер 13824 байта. Упакована UPX. Распакованный размер – около 24 КБ. Написана на C++.

Инсталляция

После запуска троянец выполняет следующие действия:

• копирует свое тело в файлы:

  %Program Files%\360rpv.exe
  %Program Files%\syslass.cpl
  

• Извлекает из своего тела файл, который сохраняется в системе как

  %System%\svcnet32.dll

  (13312 байт; детектируется Антивирусом Касперского как "Trojan.Win32.Agent.cyzi") Для созданного файла устанавливается дата и время создания/изменения идентичные системному файлу:

  %System%\ntdll.dll

• Устанавливает для созданных файлов атрибуты "скрытый" (hidden), "системный" (system), "только чтение" (read only). При этом для оригинального файла троянца устанавливается атрибут "скрытый" (hidden).
• Создает в системе службу со следующими параметрами:
  • имя: "Avt-Net";
  • имя, отображаемое в приложениях: "Portable Sound Serial Number Services";
  • исполняемый файл:

    %SystemRoot%\system32\svchost -k Avt-Net

• Создает ключи системного реестра:

  [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Svchost]
  "Avt-Net" = "Avt-Net"
  
  [HKLM\System\CurrentControlSet\Services\Avt-Net]
  "Description" = "Retrieves the serial number of any portable 
  Sound player connected to this computer. If this service is 
  stopped, any services that 
  explicitly depend on it will fail to start."
  "DisplayName" = "Portable Sound Serial Number Services"
  "ErrorControl" = "0x1"
  "Group" = "Com Infrastructure"
  "ObjectName" = "LocalSystem"
  "Start" = "0x2"
  "Type" = "0x10"
  "FailureAction" = "00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 00 
  00 00 00 02 00 00 00 60 EA 00 00"
  "ImagePath" = "%SystemRoot%\system32\svchost -k Avt-Net"
  
  [HKLM\system\CurrentControlSet\Services\Avt-Net\Parameters]
  "ServiceDll" = "%SystemRoot%\system32\svcnet32.dll"
  

  Таким образом, вредоносный код извлеченной ранее библиотеки "svcnet32.dll" будет автоматически запускаться при каждом следующем старте системы.
• Скрывает защищённые системные файлы, скрытые файлы и папки, а также расширения для exe-файлов, изменяя значения ключей системного реестра:

  [HKCR\exefile]
  "NeverShowExt" = "0x0"
  
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
  Advanced]
  "Hidden" = "0x2"
  "ShowSuperHidden" = "0x0"
  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
  Advanced\Folder\Hidden\SHOWALL]
  "CheckedValue" = "0x1"
  

• Запускает созданную ранее службу "Avt-Net".
• Для удаления своего оригинального файла после завершения его работы запускает системный командный интерпретатор "CMD.EXE" с параметрами:

  /c del <полный путь к оригинальному файлу троянца> > nul

После этого троянец завершает свою работу.
name="doc3">

Деструктивная активность

Запуск созданной на этапе инсталляции службы "Avt-Net" приводит к выполнению следующих действий:

• для контроля уникальности процесса вредоноса в системе создается уникальный идентификатор с именем "_u_hook".
• Устанавливается хук-процедура, отслеживающая сообщения в системной очереди до момента их отправки соответствующей оконной процедуре. Используя установленных хук, вредонос пытается предотвратить удаление файла:

  %Program Files%\360rpv.exe

  В случае удаления, файл восстанавливается с копии:

  %Program Files%\syslass.cpl

• Предотвращается модификация ключей системного реестра, путем циклического их создания:

  [HKCR\exefile]
  "NeverShowExt" = "0x0"
  
  [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\
  Advanced]
  "Hidden" = "0x2"
  "ShowSuperHidden" = "0x0"
  
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\
  Advanced\Folder\Hidden\SHOWALL]
  "CheckedValue" = "0x1"
  

• В бесконечном цикле с интервалом в 10 секунд из сети Интернет загружаются файлы по следующим ссылкам:

  http://me***ager.xicp.net:99/index.txt
  http://www.mi***ryfocus.net:99/index.txt
  

  и сохраняются как

  %Program Files%\Common Files\Plugins\index.txt

  Загружаемые файлы содержат списки ссылок для загрузки на зараженный компьютер других вредоносных программ. По считанным ссылкам вредонос загружает файлы, сохраняя их в каталоге хранения временных файлов текущего пользователя "%Temp%" под случайными именами. После успешной загрузки файлы запускаются на выполнение. На момент создания описания обе указанные ссылки не работали. После каждой итерации цикла загрузки, загруженные файлы удаляются из кэша посредством вызова функции "DeleteUrlCacheEntry ".