Trojan.DownLoader11.13824

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\oreans32] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\tczjfyyh.exe'
'<SYSTEM32>\psrxoexw.exe'
'<SYSTEM32>\klmpuspd.exe'
'<SYSTEM32>\rqzxzlar.exe'
'<SYSTEM32>\ciczwvhf.exe'
'<SYSTEM32>\bylsihtp.exe'
'<SYSTEM32>\jhjyqmre.exe'

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass' WindowName: '(null)'
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
ClassName: 'RegmonClass' WindowName: '(null)'
ClassName: 'OLLYDBG' WindowName: '(null)'
ClassName: 'GBDYLLO' WindowName: '(null)'
ClassName: 'pediy06' WindowName: '(null)'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\rqzxzlar.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cfile23.uf@0141BD435181221D39DCF6[2].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cfile23.uf@0141BD435181221D39DCF6[3].dll
<SYSTEM32>\jhjyqmre.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile23.uf@0141BD435181221D39DCF6[2].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cfile23.uf@0141BD435181221D39DCF6[2].dll
<SYSTEM32>\tczjfyyh.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile23.uf@0141BD435181221D39DCF6[4].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cfile23.uf@0141BD435181221D39DCF6[4].dll
<SYSTEM32>\klmpuspd.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile23.uf@0141BD435181221D39DCF6[3].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cfile23.uf@0141BD435181221D39DCF6[3].dll
<SYSTEM32>\psrxoexw.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
<SYSTEM32>\MSWINSCK.ocx
<SYSTEM32>\ciczwvhf.exe
<DRIVERS>\oreans32.sys
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile23.uf@0141BD435181221D39DCF6[1].dll
<SYSTEM32>\zlib.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cfile23.uf@0141BD435181221D39DCF6[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cfile23.uf@0141BD435181221D39DCF6[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cfile23.uf@0141BD435181221D39DCF6[2].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\mswinsck[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cfile23.uf@0141BD435181221D39DCF6[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
<SYSTEM32>\bylsihtp.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\tczjfyyh.exe
<SYSTEM32>\psrxoexw.exe
<SYSTEM32>\klmpuspd.exe
<SYSTEM32>\rqzxzlar.exe
<SYSTEM32>\ciczwvhf.exe
<SYSTEM32>\bylsihtp.exe
<SYSTEM32>\jhjyqmre.exe

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\mswinsck[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile23.uf@0141BD435181221D39DCF6[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx

Сетевая активность:

Подключается к:

'localhost':1061
'localhost':1062
'localhost':1056
'localhost':1057
'localhost':1069
'localhost':1070
'localhost':1065
'localhost':1066
'localhost':1052
'pd###.egloos.com':80
'localhost':1040
'localhost':1036
'up#####ii.tistory.com':80
'localhost':1047
'localhost':1051
'localhost':1041
'localhost':1046

TCP:

Запросы HTTP GET:

pd###.egloos.com/pds/201309/09/58/mswinsck.ocx
up#####ii.tistory.com/attachment/cfile23.uf@0141BD435181221D39DCF6.dll

UDP:

DNS ASK pd###.egloos.com
DNS ASK up#####ii.tistory.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: '(null)'
ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
ClassName: '18467-41' WindowName: '(null)'
ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'