Trojan.DownLoader11.38812

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\hao123JuziBrowser\hao123Juzi.exe' --class=4
'%PROGRAM_FILES%\hao123JuziBrowser\hao123Juzi.exe' --hostwnd=131304 --class=8
'%PROGRAM_FILES%\hao123JuziBrowser\hao123Juzi.exe' --hostwnd=131304 --parent=131298 --msgwnd=262366 --param=65536 --class=1 --type=1 --flag=1 --set=0
'%PROGRAM_FILES%\hao123JuziBrowser\hao123Juzi.exe' --class=13 --type=4 --procid=97779669_u2_hao_ --param="ЅЫЧУдЇААЖч"
'%PROGRAM_FILES%\hao123JuziBrowser\hao123Juzi.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Скрывает следующие процессы:

<Полный путь к вирусу>

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\hao123桔子浏览器\ЅЫЧУдЇААЖч.lnk
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\desktop.ini
%ALLUSERSPROFILE%\Start Menu\Programs\ЅЫЧУдЇААЖч.lnk
%ALLUSERSPROFILE%\Start Menu\Internet JBrowser.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Internet JBrowser.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet JBrowser.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\ЅЫЧУдЇААЖч.lnk
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\Bookmark.db
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\Bookmark.db-journal
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\N64QSQWW\hao123[1]
%TEMP%\dh3871.tmp
%TEMP%\dhD6A.tmp
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\OLEN81Y7\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\N64QSQWW\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\4V2HWRML\desktop.ini
%TEMP%\dhC758.tmp
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\C9QFGP2V\desktop.ini
%ALLUSERSPROFILE%\Start Menu\ЅЫЧУдЇААЖч.lnk
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\bkmak.dat
%PROGRAM_FILES%\hao123JuziBrowser\Installer\Uninst.exe
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\gwdlist.dat
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\softlist.dat
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\setting.dat
%TEMP%\nsy3.tmp\NSISdl.dll
%TEMP%\nss2.tmp
%TEMP%\nsy3.tmp\nso4.tmp
%PROGRAM_FILES%\hao123JuziBrowser\hao123Juzi.exe
%TEMP%\nsy3.tmp\System.dll
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\ico\www.hao123.com.ico
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\game\gamelist.dat
%PROGRAM_FILES%\hao123JuziBrowser\28102014.ico
%ALLUSERSPROFILE%\Desktop\Internet JBrowser.lnk
%ALLUSERSPROFILE%\Desktop\ЅЫЧУдЇААЖч.lnk
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\zoomimage.dat
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\speedup.dat
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\adblock\adbept.dat
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\adblock\adbwin.dat
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\adblock\adbraw.dat

Присваивает атрибут 'скрытый' для следующих файлов:

%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\OLEN81Y7\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\4V2HWRML\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\C9QFGP2V\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\desktop.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Cache\Temporary\Default\Content.IE5\N64QSQWW\desktop.ini

Удаляет следующие файлы:

%TEMP%\dhD6A.tmp
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\bkmak.dat
<SYSTEM32>\PerfStringBackup.TMP
<SYSTEM32>\wbem\Performance\WmiApRpl.ini
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\Bookmark.db-journal
%TEMP%\nsy3.tmp\nso4.tmp
%TEMP%\nsy3.tmp\NSISdl.dll
%PROGRAM_FILES%\hao123JuziBrowser\User_Data\Default\setting.dat
%TEMP%\nsy3.tmp\System.dll

Сетевая активность:

Подключается к:

'www.ha##23.com':80
'up####.123juzi.net':80
'localhost':1048
'localhost':1047
'localhost':1043
'localhost':1040
'97#####9.jzbrowser.com':80
'localhost':1042
'lo#.#23juzi.net':80

TCP:

Запросы HTTP GET:

www.ha##23.com/favicon.ico
up####.123juzi.net/conflist.php?ve#########################################################################################################
up####.123juzi.net/update.php?ve###################################################################################################################################################################################################################################################################################################################
www.ha##23.com/?tn###################
97#####9.jzbrowser.com/index.html
lo#.#23juzi.net/log.php?ty###################################################################################################################################################################
up####.123juzi.net/getupdatej.php?tn###################

UDP: