Троянская программа, предоставляющая злоумышленнику удаленный доступ к зараженному компьютеру. Является приложением Windows (PE-EXE файл). Имеет размер 93696 байт. Упакован при помощи UPX, распакованный размер – около 183 КБ.
Инсталляция

При запуске бэкдор извлекает из своего тела следующие файлы:
%System%\hl.dat – размер 45474 байт
%System%\scerpt.dll – размер 4096 байт
%System%\hmlphl.dll – размер 86016 байт
%System%\mrcmgr.exe – размер 36864 байт

предварительно извлекая их в свою рабочую папку с именами состоязщими из случайной последовательности прописных латинских букв и расширения .tmp.

Бэкдор регистрирует один из своих компонентов как Browser Helper Object, создавая при этом следующий ключ реестра:
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}]
"default" = "BhoApp Class"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\InprocServer32]
"default" = "%System%\hmlphl.dll"
"ThreadingModel" = "Apartment"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\ProgID]
"default" = "MSApp.BhoApp.1"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}\TypeLib]
"default" = "{DC8305B3-1EE7-4d58-83EF-2C5BC6C6566C}"
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-
0AADDEC8A14B}\VersionIndependentProgID]
"default" = "MSApp.BhoApp"

Для автоматического запуска при каждом следующем старте системы бэкдор добавляет ссылку на свой исполняемый файл в ключи автозапуска системного реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"1" = "%System%\mrcmgr.exe"
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit" = "%System%\userinit.exe,%System%\mrcmgr.exe"
Деструктивная активность

Используя следующие функции системной библиотеки crypt32.dll:
CertEnumCertificatesInStore
PFXExportCertStoreEx

бэкдор экспортирует сертификаты и ключи шифрования установленные в системе пользователя в файлы с расширением .pfx в папке %Temp%:

Бэкдор запускает HTTP прокси сервер на 6666 TCP порту, а также патчит системный файл:
%System%\drivers\tcpip.sys
убирая ограничение на количество создаваемых сокетов в системе.

Бэкдор похищает параметры учетных записей Outlook, перехватывает текст вводимый пользователем в полях ввода на веб страницах в Internet Explorer, а также перехватывает ввод с клавиатуры при помощи функции SetWindowsHookEx, кроме этого бэкдор следит за URL, которые пользователь вводит в строке адреса браузера и перехватывает отправляемые в интернет данные форм на веб страницах. Также бэкдор похищает содержимое защищенного хранилища Windows. Собранные данные бэкдор сохраняет в файлах с расширением .log в папке %Temp%.

Также бэкдор поддерживает следующие команды удаленного управления:

* выполнение произвольной команды shell;
* полный удаленный доступ к жесткому диску зараженного компьютера;
* запуск/остановка процессов;
* удаление себя из системы;
* снятие скриншотов текущего окна, с которым работает пользователь и сохранение их в виде набора файлов с расширением .jpg в папке %Temp%.

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи «Диспетчера задач» завершить вредоносный процесс.
2. Удалить оригинальный файл бэкдора (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер), а также все файлы с расширением .tmp в его папке.
3. Удалить ключ системного реестра:
[HKCR\CLSID\{AAD1C6AD-10AB-4cae-97FB-0AADDEC8A14B}]
4. Удалить параметр в ключе системного реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"1" = "%System%\mrcmgr.exe"
5. Изменить значение в ключе системного реестра на следующее:
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit" = "%System%\userinit.exe"
6. Удалить файлы:
%System%\hl.dat
%System%\scerpt.dll
%System%\hmlphl.dll
%System%\mrcmgr.exe
7. Очистить содержимое папки %Temp%.
8. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).