Trojan.DownLoader4.14693

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Kanbox' = '"%APPDATA%\Kanbox Network\Kanbox\bin\Kanbox.exe" flashsync_auto_startup'

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\regsvr32.exe /s "%APPDATA%\Kanbox Network\Kanbox\bin\KanboxPropSheetExt.dll"
<SYSTEM32>\regsvr32.exe /s "%APPDATA%\Kanbox Network\Kanbox\shellext\SyncStateExt.dll"
<SYSTEM32>\regsvr32.exe /u /s "%APPDATA%\Kanbox Network\Kanbox\bin\KanboxPropSheetExt.dll"

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\register.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\package.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\menu-icon.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_1.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_4.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_3.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_2.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\after_login.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\about.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\UserDirectory.ico
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\before_login.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\login.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\finishex.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\btn_bg.bmp
%APPDATA%\Kanbox Network\Kanbox\bin\KanboxPropSheetExt.dll
%APPDATA%\Kanbox Network\Kanbox\shellext\SyncStateExt.dll
%APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\syncing1.ico
%HOMEPATH%\Desktop\їбЕМ.lnk
%APPDATA%\Kanbox Network\Kanbox\bin\uninst.exe
%HOMEPATH%\Start Menu\Programs\їбЕМ\Р¶ФШїбЕМ.lnk
%HOMEPATH%\Start Menu\Programs\їбЕМ\Жф¶ЇїбЕМ.lnk
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\taskbar_notify.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_6.png
%APPDATA%\Kanbox Network\Kanbox\bin\Resources\zh-CN\Images\step_5.png
%APPDATA%\Kanbox Network\Kanbox\bin\Locales\zh-CN.dll
%APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\synced1.ico
%APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\ignore1.ico
%APPDATA%\Kanbox Network\Kanbox\shellext\SyncStatOverlays\icons\errors1.ico
%APPDATA%\Kanbox Network\Kanbox\bin\CrashReporter.dll
%APPDATA%\Kanbox Network\Kanbox\bin\disk_cache.dll
%APPDATA%\Kanbox Network\Kanbox\bin\LiveUpdater.exe
%APPDATA%\Kanbox Network\Kanbox\bin\auctl.dll
%APPDATA%\Kanbox Network\Kanbox\bin\Kanbox.exe
%APPDATA%\Kanbox Network\Kanbox\bin\down_surf.dll
%APPDATA%\Kanbox Network\Kanbox\bin\job_dispatcher.dll
%APPDATA%\Kanbox Network\Kanbox\bin\framework.dll
%TEMP%\nst3.tmp\update.bmp
%TEMP%\nst3.tmp\ProcDll.dll
%TEMP%\nss2.tmp
%TEMP%\nst3.tmp\update.ini
%TEMP%\nst3.tmp\System.dll
%TEMP%\nst3.tmp\GetVersion.dll
%TEMP%\nst3.tmp\google.ini
%APPDATA%\Kanbox Network\Kanbox\bin\msvcp90.dll
%APPDATA%\Kanbox Network\Kanbox\bin\msvcm90.dll
%APPDATA%\Kanbox Network\Kanbox\bin\Microsoft.VC90.CRT.manifest
%APPDATA%\Kanbox Network\Kanbox\bin\msvcr90.dll
%APPDATA%\Kanbox Network\Kanbox\bin\CrashReporterSilent.exe
%APPDATA%\Kanbox Network\Kanbox\bin\rpt.dll
%APPDATA%\Kanbox Network\Kanbox\bin\zlib1.dll
%APPDATA%\Kanbox Network\Kanbox\bin\sys_mon.dll
%APPDATA%\Kanbox Network\Kanbox\bin\netproxy.dll
%APPDATA%\Kanbox Network\Kanbox\bin\mg.dll
%APPDATA%\Kanbox Network\Kanbox\bin\token_id.dll
%APPDATA%\Kanbox Network\Kanbox\bin\syncbox.dll
%APPDATA%\Kanbox Network\Kanbox\bin\stat.dll
%APPDATA%\Kanbox Network\Kanbox\bin\p2sp_manager.dll

Удаляет следующие файлы:

%TEMP%\nst3.tmp\System.dll
%TEMP%\nst3.tmp\update.bmp
%TEMP%\nst3.tmp\update.ini
%TEMP%\nst3.tmp\GetVersion.dll
%TEMP%\nst3.tmp\google.ini
%TEMP%\nst3.tmp\ProcDll.dll

Сетевая активность:

Подключается к:

'st##.kanbox.com':80

TCP:

Запросы HTTP POST:

st##.kanbox.com/

UDP:

DNS ASK st##.kanbox.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: 'FlashSyncWindow_{5357B3B3-D539-431a-9634-AEABEFD4E66A}' WindowName: ''