Trojan.DownLoader4.11488

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1635FD1316307D85' = 'C:\InstDrv\InstDrv.exe'

Вредоносные функции:

Создает и запускает на исполнение:

C:\InstDrv\InstDrv.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\alg.exe
<SYSTEM32>\winlogon.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\svchost.exe
<SYSTEM32>\lsass.exe

большое количество пользовательских процессов.

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPost' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPostRedirect' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1409' = '00000003'

Изменения в файловой системе:

Создает следующие файлы:

C:\InstDrv\config.bin
C:\InstDrv\InstDrv.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'localhost':1165
'localhost':1168
'localhost':1159
'localhost':1162
'localhost':1171
'localhost':1180
'localhost':1183
'localhost':1174
'localhost':1177
'localhost':1138
'localhost':1141
'localhost':1132
'localhost':1135
'localhost':1144
'localhost':1153
'localhost':1156
'localhost':1147
'localhost':1150
'localhost':1219
'localhost':1222
'localhost':1212
'localhost':1216
'localhost':1224
'localhost':1234
'localhost':1235
'localhost':1228
'localhost':1229
'localhost':1192
'localhost':1195
'localhost':1186
'localhost':1189
'localhost':1198
'localhost':1204
'localhost':1210
'localhost':1201
'localhost':1205
'localhost':1055
'localhost':1060
'localhost':1048
'localhost':1054
'localhost':1063
'localhost':1072
'localhost':1075
'localhost':1066
'localhost':1067
'localhost':1035
'91.##3.82.20':7008
'91.##3.82.20':443
'localhost':1036
'91.##3.82.20':7009
'91.##3.82.20':80
'localhost':1049
'localhost':1042
'localhost':1041
'localhost':1111
'localhost':1114
'localhost':1105
'localhost':1108
'localhost':1117
'localhost':1126
'localhost':1129
'localhost':1120
'localhost':1123
'localhost':1084
'localhost':1087
'localhost':1078
'localhost':1081
'localhost':1090
'localhost':1099
'localhost':1102
'localhost':1093
'localhost':1096

TCP:

Запросы HTTP GET:

91.##3.82.20/account/gate.php?gu####################################################################################################################################################################################

Другое:

Ищет следующие окна: