Trojan.DownLoader11.19910

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Energys Service1222014416412762] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsz3.tmp\ns5.tmp' sc description "Energys Service1222014416412762" "Energys Service3222014416412762"
'%PROGRAM_FILES%\ainqngz4.7\Ainqngz4.7.exe'
'%PROGRAM_FILES%\ainqngz4.7\kinetic.exe' /s/s
'%TEMP%\nsz3.tmp\ns4.tmp' sc create "Energys Service1222014416412762" displayname= "2222014416412762" binPath= "%PROGRAM_FILES%\ainqngz4.7\energy.exe" start= auto
'%TEMP%\pczh_113_14975.exe'
'%TEMP%\sjss_jing_114lm_14975.exe'
'<LS_APPDATA>\sjss\sjss.exe'

Запускает на исполнение:

'<SYSTEM32>\sc.exe' description "Energys Service1222014416412762" "Energys Service3222014416412762"
'<SYSTEM32>\sc.exe' create "Energys Service1222014416412762" displayname= "2222014416412762" binPath= "%PROGRAM_FILES%\ainqngz4.7\energy.exe" start= auto

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\ainqngz4.7\kinetic.exe
%PROGRAM_FILES%\ainqngz4.7\uninstall.exe
%HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.7\Р¶ФШ.lnk
%PROGRAM_FILES%\ainqngz4.7\energy.exe
%PROGRAM_FILES%\ainqngz4.7\Ainqngz4.7.exe
%ALLUSERSPROFILE%\Start Menu\速捷搜索.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\速捷搜索\卸载速捷搜索.lnk
%HOMEPATH%\Templates\222014416412762\YYM_955WD30.gif
%TEMP%\nsz3.tmp\NSISdl.dll
%TEMP%\nsz3.tmp\md5dll.dll
%TEMP%\nsz3.tmp\Math.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\zhibo2[1].html
%TEMP%\nsz3.tmp\Inetc.dll
%HOMEPATH%\Desktop\°®Зй.ЦЗ»Ы.4.7.lnk
%TEMP%\nsz3.tmp\nsExec.dll
%HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.7\°®Зй.ЦЗ»Ы.4.7.lnk
%TEMP%\nsz3.tmp\ns5.tmp
%TEMP%\nsz3.tmp\ns4.tmp
<LS_APPDATA>\sjss\Config.ini
<LS_APPDATA>\速捷搜索.lnk
<LS_APPDATA>\sjss\SouSuo.zip
<LS_APPDATA>\sjss\install_1398210088.tmp
%TEMP%\nsz3.tmp\System.dll
%TEMP%\sjss_jing_114lm_14975.exe
%TEMP%\pczh_113_14975.exe
%TEMP%\nsz3.tmp\Base64.dll
%TEMP%\nse2.tmp
%ALLUSERSPROFILE%\Desktop\速捷搜索.lnk
<LS_APPDATA>\sjss\uninstall.exe
%ALLUSERSPROFILE%\Start Menu\Programs\速捷搜索\速捷搜索.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\速捷搜索.lnk
<LS_APPDATA>\sjss\sjss.exe
<LS_APPDATA>\sjss\image\1.png
<LS_APPDATA>\sjss\image\0.png
<LS_APPDATA>\sjss\image\3.png
<LS_APPDATA>\sjss\image\2.png

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

to####.aiqingzhihui.com/tjapi.php?ma########################################################################################################################################################################
tv.###ingzhihui.com/zhibo2.html?id####################################
cp####p.centenr.com/iclk/?zo#####################
up####info.yyhsj.cn/kbtongji.asp?sn##############################################################

UDP: