Trojan.DownLoader11.34410

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] '{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}' = ''

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\SASDIFSV] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\SASKUTIL] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\RarSFX0\SSUpdate.exe' %TEMP%\SSU3.tmp
'%TEMP%\RarSFX0\SUPERAntiSpyware.exe'

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtTerminateProcess, драйвер-обработчик: SASKUTIL.SYS

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\sas_enum_cookies.exe
%TEMP%\RarSFX0\RUNSAS.EXE
%TEMP%\RarSFX0\msvcr71.dll
%TEMP%\RarSFX0\SASCTXMN.DLL
%TEMP%\RarSFX0\SASCore.exe
%TEMP%\RarSFX0\SAS_Preconfig.db3
%TEMP%\RarSFX0\detect.wav
%TEMP%\RarSFX0\Plugins\sab_mapi.dll
%TEMP%\RarSFX0\Plugins\sab_incr.dll
%TEMP%\RarSFX0\Language\Swedish (SE).lng
%TEMP%\RarSFX0\BootSafe.exe
%TEMP%\RarSFX0\appdata.sas
%TEMP%\RarSFX0\Plugins\sab_wab.dll
%TEMP%\RarSFX0\sasdifsv.sys
%ALLUSERSPROFILE%\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\sas_background.bmp
%ALLUSERSPROFILE%\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\SAS_ALLUSER.DB3
%ALLUSERSPROFILE%\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\SAS_ALLUSER.DB3-journal
%TEMP%\SSU3.tmp
%APPDATA%\SUPERAntiSpyware.com\SUPERAntiSpyware\AppLogs\SUPERANTISPYWARE-9-25-2014( 15-10-11 ).SDB
%ALLUSERSPROFILE%\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\sas_header.bmp
%APPDATA%\SUPERAntiSpyware.com\SUPERAntiSpyware\SAS_CURRENTUSER.DB3
%TEMP%\RarSFX0\SASSEH.DLL
%TEMP%\RarSFX0\SASREPAIRS.STG
%TEMP%\RarSFX0\SASKUTIL.SYS
%APPDATA%\SUPERAntiSpyware.com\SUPERAntiSpyware\SAS_CURRENTUSER.DB3-journal
%APPDATA%\SUPERAntiSpyware.com\SUPERAntiSpyware\sas-data.tmp
%ALLUSERSPROFILE%\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\sas-data.tmp
%TEMP%\RarSFX0\Language\Arabic.lng
%TEMP%\RarSFX0\Uninstall.exe
%TEMP%\RarSFX0\Uninstall.dat
%TEMP%\RarSFX0\Language\Danish (DK).lng
%TEMP%\RarSFX0\Language\Chinese Simplified (GB).lng
%TEMP%\RarSFX0\Language\Bulgarian (BG).lng
%TEMP%\RarSFX0\SUPERDelete.exe
%TEMP%\RarSFX0\SASWINLO.DLL
%TEMP%\RarSFX0\SASTask.exe
%TEMP%\RarSFX0\ReadMe.url
%TEMP%\RarSFX0\SUPERAntiSpyware.exe
%TEMP%\RarSFX0\SUPERAntiSpyware.chm
%TEMP%\RarSFX0\SSUpdate.exe
%TEMP%\RarSFX0\Language\Dutch (NL).lng
%TEMP%\RarSFX0\Language\Polish (PL).lng
%TEMP%\RarSFX0\Language\Norwegian (NO).lng
%TEMP%\RarSFX0\Language\Macedonian (MK).lng
%TEMP%\RarSFX0\Language\Spanish (ES).lng
%TEMP%\RarSFX0\Language\Russian (RU).lng
%TEMP%\RarSFX0\Language\Portuguese (BR).lng
%TEMP%\RarSFX0\Language\Italian (IT).lng
%TEMP%\RarSFX0\Language\French (FR).lng
%TEMP%\RarSFX0\Language\Estonian (EST).lng
%TEMP%\RarSFX0\Language\English (US).lng
%TEMP%\RarSFX0\Language\Hungarian (HU).lng
%TEMP%\RarSFX0\Language\Hebrew (IL).lng
%TEMP%\RarSFX0\Language\German (DE).lng

Удаляет следующие файлы:

%ALLUSERSPROFILE%\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\SAS_ALLUSER.DB3-journal
%TEMP%\SSU3.tmp
%APPDATA%\SUPERAntiSpyware.com\SUPERAntiSpyware\SAS_CURRENTUSER.DB3-journal
%ALLUSERSPROFILE%\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\sas-data.tmp
%APPDATA%\SUPERAntiSpyware.com\SUPERAntiSpyware\sas-data.tmp

Сетевая активность:

Подключается к:

'sa#######.superantispyware.com':80
'cd#.####rantispyware.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

sa#######.superantispyware.com/sascomponents/{06CD588E-4BD7-4AB9-9938-0949231C9484}.sas
cd#.####rantispyware.com/appdata/sas/public/20000002.XML
wp#d/wpad.dat

UDP: