Trojan.DownLoader4.16428

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}] 'stubpath' = ''

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\°ІЧ°.bat

Вредоносные функции:

Создает и запускает на исполнение:

%WINDIR%\programs\ini.exe

Запускает на исполнение:

<SYSTEM32>\dumprep.exe 1128 -dm 7 7 %WINDIR%\PCHealth\ErrorRep\UserDumps\svchost.exe.20110704-114036-00.hdmp 16325836412031076
<SYSTEM32>\dumprep.exe 1128 -dm 7 7 %WINDIR%\PCHealth\ErrorRep\UserDumps\svchost.exe.20110704-114036-00.mdmp 16325836412031076

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\Far\Plugins\Editor\DrawLine\wsock32.dll
C:\Far\Plugins\Editor\EditCase\wsock32.dll
C:\Far\Plugins\Editor\AutoWrap\wsock32.dll
C:\Far\Plugins\Editor\Brackets\wsock32.dll
C:\Far\Plugins\Editor\wsock32.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\down[1].txt
%TEMP%\configmon.dat
C:\Far\Plugins\EMenu\wsock32.dll
C:\Far\Plugins\exefilt\wsock32.dll
C:\Far\Plugins\Editor\Align\wsock32.dll
C:\Far\Plugins\calc\wsock32.dll
C:\Far\Plugins\calc2\wsock32.dll
C:\Far\Plugins\ascii\wsock32.dll
C:\Far\Plugins\backup\wsock32.dll
C:\Far\Plugins\CallCommand\bin\wsock32.dll
C:\Far\Plugins\Compare\wsock32.dll
C:\Far\Plugins\DOCFILE\wsock32.dll
C:\Far\Plugins\CallCommand\wsock32.dll
C:\Far\Plugins\COMP\wsock32.dll
C:\Far\Plugins\IDECLASS\wsock32.dll
C:\Far\Plugins\INSTEXPL\Unp\wsock32.dll
C:\Far\Plugins\hrc\4you\wsock32.dll
C:\Far\Plugins\hrc\wsock32.dll
C:\Far\Plugins\INSTEXPL\wsock32.dll
C:\Far\Plugins\MD5plug130\wsock32.dll
C:\Far\Plugins\msdn\Src\wsock32.dll
C:\Far\Plugins\MD5plug130\bin\wsock32.dll
C:\Far\Plugins\MD5plug130\src\wsock32.dll
C:\Far\Plugins\HlfViewer\wsock32.dll
C:\Far\Plugins\FBlock107\wsock32.dll
C:\Far\Plugins\FileCase\wsock32.dll
C:\Far\Plugins\FARCmds\wsock32.dll
C:\Far\Plugins\farhelp\wsock32.dll
C:\Far\Plugins\fopen\wsock32.dll
C:\Far\Plugins\getlastvirname\wsock32.dll
C:\Far\Plugins\helpplugin\wsock32.dll
C:\Far\Plugins\FTP\lib\wsock32.dll
C:\Far\Plugins\FTP\wsock32.dll
C:\Far\Plugins\ascii\src\wsock32.dll
C:\Far\Addons\Tables\Cyrillic\E-Mail Double Conversion\wsock32.dll
C:\Far\Addons\Tables\Cyrillic\wsock32.dll
C:\Far\Addons\Shell\wsock32.dll
C:\Far\Addons\Tables\Central European\wsock32.dll
C:\Far\Addons\Tables\Hebrew\wsock32.dll
C:\Far\Addons\XLat\Russian\wsock32.dll
C:\Far\Addons\XLat\wsock32.dll
C:\Far\Addons\Tables\Western European\wsock32.dll
C:\Far\Addons\Tables\wsock32.dll
C:\Far\Addons\SetUp\wsock32.dll
%WINDIR%\programs\wsock32.dll
%WINDIR%\programs\desktop.ini
%WINDIR%\programs\ini.exe
%WINDIR%\programs\fuckme.vbs
C:\Far\Addons\Archivers\wsock32.dll
C:\Far\Addons\Colors\wsock32.dll
C:\Far\Addons\Macros\wsock32.dll
C:\Far\Addons\Colors\Custom Highlighting\wsock32.dll
C:\Far\Addons\Colors\Default Highlighting\wsock32.dll
C:\Far\PlugDoc\Examples\MultiArc\wsock32.dll
C:\Far\PlugDoc\Examples\Network\wsock32.dll
C:\Far\PlugDoc\Examples\HlfViewer\wsock32.dll
C:\Far\PlugDoc\Examples\MultiArc\Formats\wsock32.dll
C:\Far\PlugDoc\Examples\TmpPanel\wsock32.dll
C:\Far\PlugDoc\Headers.pas\wsock32.dll
C:\Far\PlugDoc\wsock32.dll
C:\Far\PlugDoc\Examples\wsock32.dll
C:\Far\PlugDoc\Headers.c\wsock32.dll
C:\Far\PlugDoc\Examples\HelloWorld\wsock32.dll
C:\Far\PlugDoc\Examples\Editor\Align\wsock32.dll
C:\Far\PlugDoc\Examples\Editor\AutoWrap\wsock32.dll
C:\Far\Addons\wsock32.dll
C:\Far\PlugDoc\Examples\Compare\wsock32.dll
C:\Far\PlugDoc\Examples\Editor\Brackets\wsock32.dll
C:\Far\PlugDoc\Examples\FARCmds\wsock32.dll
C:\Far\PlugDoc\Examples\FileCase\wsock32.dll
C:\Far\PlugDoc\Examples\Editor\EditCase\wsock32.dll
C:\Far\PlugDoc\Examples\Editor\wsock32.dll