Trojan.DownLoader4.10792

Добавлен в вирусную базу Dr.Web: 2011-07-12

Описание добавлено: 2011-07-12

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sq3q' = '%APPDATA%\56o4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sxikihuvuw' = 'rundll32.exe "%WINDIR%\ibdsfu1.dll",Startup'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\2305577744] 'Name' = '"%TEMP%\5.tmp"'

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\56o4.exe -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
"%TEMP%\ukrycny.exe" (загружен из сети Интернет)
"%TEMP%\cpbdrxur.exe" (загружен из сети Интернет)
"%TEMP%\nohfx.exe" (загружен из сети Интернет)
"%TEMP%\yttwulhw.exe" (загружен из сети Интернет)
"%TEMP%\xqcwsah.exe" (загружен из сети Интернет)
"%TEMP%\mish.exe" (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\runonce.exe -r
<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\rundll32.exe "%WINDIR%\ibdsfu1.dll",iep
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\e6kd7hoc.bat"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\svchost.exe
<SYSTEM32>\rundll32.exe "%WINDIR%\ibdsfu1.dll",Startup
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED

Внедряет код в

следующие системные процессы:

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\ukrycny.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\dnnrvriqm[1].php
%TEMP%\pshha.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\xtkkbspt[1].php
%APPDATA%\56o4.exe
%TEMP%\nohfx.exe
%TEMP%\cpbdrxur.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\oobbff[1].php
%APPDATA%\e6kd7hoc.bat
%TEMP%\Rlb..bat
%WINDIR%\ukevaqeg.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\CAPWSNH1.php
%TEMP%\iycclejs.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\ivzqmqd[1].php
%APPDATA%\mdinstall.inf
%APPDATA%\MouseDriver.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\nnbrswmqa[1].php
%TEMP%\nsd3.tmp\6tbp.exe
%TEMP%\nsd3.tmp\3E4U - Bucks.exe
%WINDIR%\ibdsfu1.dll
%TEMP%\nsd3.tmp\IR.exe
%TEMP%\nsd3.tmp\converter7.exe
%TEMP%\nss2.tmp
%TEMP%\nsd3.tmp\2IC.exe
%TEMP%\nsd3.tmp\1EuroP.exe
%WINDIR%\Temp\6.tmp
%TEMP%\xqcwsah.exe
%TEMP%\mish.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\flcppgggu[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\sjwxkob[1].php
%TEMP%\4.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\arboobnkar[1].php
%TEMP%\yttwulhw.exe

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

Запросы HTTP POST:

th###able.in/ads76tds76d76.php?in##############################################################################################################

UDP:

Другое:

Ищет следующие окна: