Trojan.DownLoader11.10501

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MiniPcast' = '%PROGRAM_FILES%\pcast\PodcastbarMini\start.exe'
[<HKLM>\SOFTWARE\Classes\pcast\shell\open\command] '' = '%PROGRAM_FILES%\pcast\PodcastbarMini\PODCAS~1.EXE "%1"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'DTService' = 'rundll32.exe <SYSTEM32>\DTSERV~1.DLL,Load'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'mscfs' = 'RUNDLL32 <SYSTEM32>\msibm\cfsys.dll,cfs'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\pcast\PodcastbarMini\PODCAS~1.EXE' = '%PROGRAM_FILES%\pcast\PodcastbarMini\PODCAS~1.EXE:*:Enabled:Share Streaming'

Создает и запускает на исполнение:

'%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\pcastbarminis-1.0.0.4_0112_009.exe' /S /R0
'%ALLUSERSPROFILE%\Application Data\Microsoft\IEHelper\WIS137.exe'
'%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\bind_8370.exe'
'%PROGRAM_FILES%\pcast\PodcastbarMini\PodcastBarMini.exe'
'%PROGRAM_FILES%\pcast\PodcastbarMini\Start.exe'
'<SYSTEM32>\msibm\CFSQdll.exe' 20
'%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\edm06.exe' /S /R0
'%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\bind_8370.exe'
'<Текущая директория>\vip.exe'
'%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\WIS137.exe' /S /R0
'%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\bind_8370.exe'
'%ALLUSERSPROFILE%\Application Data\Microsoft\IEHelper\setup_01bjts06_1.3.exe'

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\msibm\cfsys.DLL,cfs
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\msibm\cfsbho.dll,regUser
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\msibm\cfsbho.dll,firstGenGuid

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

следующие пользовательские процессы:

iexplore.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\msibm\post.htm
<SYSTEM32>\ibmuuid_.dll
%PROGRAM_FILES%\pcast\PodcastbarMini\pCastCtl.dll
<SYSTEM32>\bakcfs\cfsupd.dll
%PROGRAM_FILES%\pcast\PodcastbarMini\uninst.exe
<SYSTEM32>\msibm\intro.htm
%PROGRAM_FILES%\pcast\PodcastbarMini\PodcastBarMini.exe
<SYSTEM32>\msibm\cfsbho.dll
<SYSTEM32>\msibm\lowlvl.dll
<SYSTEM32>\msibm\linbak.dll
%PROGRAM_FILES%\pcast\PodcastbarMini\Start.exe
%HOMEPATH%\Desktop\PodcastbarMini.lnk
<SYSTEM32>\ibmvdr_.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\7436[1].txt
%PROGRAM_FILES%\pcast\PodcastbarMini\pbmini.config.xml
%TEMP%\setuprun2.exe
%TEMP%\tem9.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pcast_install[1].html
<SYSTEM32>\msibm\cfscfg.7z
<SYSTEM32>\msvendr_.dll
<SYSTEM32>\bakcfs\CFSBHO.DLL
<SYSTEM32>\bakcfs\LINBAK.dll
<SYSTEM32>\bakcfs\lowlvl.dll
<SYSTEM32>\msuuid_.dll
<SYSTEM32>\bakcfs\CFSYS.DLL
<SYSTEM32>\bakcfs\CFS7ZD.DLL
<SYSTEM32>\msibm\cfsys.dll
%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\pcastbarminis-1.0.0.4_0112_009.exe
%ALLUSERSPROFILE%\Application Data\Microsoft\IEHelper\setup_01bjts06_1.3.exe
%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\bind_8370.exe
<SYSTEM32>\ext\DTDL.dll
<SYSTEM32>\dtservice.dll
%ALLUSERSPROFILE%\Application Data\Microsoft\IEHelper\IEHelper_8191.dll
%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\fileinfo.ini
%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\fileinfo.ini
%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\edm06.exe
<Текущая директория>\vip.exe
%ALLUSERSPROFILE%\Application Data\Microsoft\IEHelper\IEHelper_8222.dll
%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\WIS137.exe
%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\bind_8370.exe
<SYSTEM32>\msibm\post.tpl
%PROGRAM_FILES%\pcast\PodcastbarMini\version.ini
<SYSTEM32>\msibm\CFSQdll.exe
<SYSTEM32>\msibm\cfsupd.dll
<SYSTEM32>\msibm\cfs7zd.DLL
<SYSTEM32>\msibm\intro.tpl
<SYSTEM32>\msibm\Uninstall.exe
%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\fileinfo.ini
<SYSTEM32>\microapmddt.dll
<SYSTEM32>\ext\DTSM.dll
%TEMP%\nsu3.tmp
%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\bind_8370.exe
%ALLUSERSPROFILE%\Application Data\Microsoft\IEHelper\WIS137.exe

Удаляет следующие файлы:

%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\fileinfo.ini
%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\bind_8370.exe
%TEMP%\b773eb87-d361-418e-8abe-59d189eb4d32\pcastbarminis-1.0.0.4_0112_009.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\7436[1].txt
<SYSTEM32>\msibm\CFSQdll.exe
%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\WIS137.exe
%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\edm06.exe
%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\bind_8370.exe
%TEMP%\9ec14193-475a-4f4a-8213-560567fb6d73\fileinfo.ini
%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\fileinfo.ini
%TEMP%\36cf3074-bbfe-4b5b-aa42-bcc4e5dafc4c\bind_8370.exe

Сетевая активность:

Подключается к:

'www.ou##in.com':80
'p-##.io8.org':8080
're#.##ast.dudu.com':80
'fi###.qqhelper.com':80
'localhost':1041
'pc####l.dudu.com':80

TCP:

Запросы HTTP GET:

www.ou##in.com/cfs/cfscfg.7z.md5?ve#################################################
www.ou##in.com/cfs/cfscfg.7z?ve#################################################
re#.##ast.dudu.com/rep/pcast_install.html?YO##############################################################################################################################
www.ou##in.com/cfs/available/7436.txt?ve##################################################
fi###.qqhelper.com/bindsoft/bindsetup.exe
pc####l.dudu.com/pcastbarup/rls/updateprogmini.php?ve###########################
www.ou##in.com/cfs/reguser.php?gu##############################################

UDP: