Trojan.DownLoader11.14958

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\Network Monitoring Tray.lnk

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\LTSvcMon] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\LTSvcMon] 'ImagePath' = '"%WINDIR%\LTsvc\LTSvcMon.exe"'
[<HKLM>\SYSTEM\ControlSet001\Services\LTService] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\LTService] 'ImagePath' = '"%WINDIR%\LTSvc\LTSVC.exe" -sLTService'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\LTSvc\LTTray.exe' = '%WINDIR%\LTSvc\LTTray.exe:*:Enabled:AgentTray'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\LTSvc\LTSVC.exe' = '%WINDIR%\LTSvc\LTSVC.exe:*:Enabled:AgentService'

Создает и запускает на исполнение:

'%WINDIR%\LTSvc\LTSvcMon.exe'
'%WINDIR%\LTSvc\LTSVC.exe' -sLTService

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall set portopening tcp 4997 allowagent enable custom 127.0.0.1,localsubnet
'<SYSTEM32>\netsh.exe' firewall set portopening tcp 4996 allowagent enable custom 127.0.0.1,localsubnet
'<SYSTEM32>\netsh.exe' firewall set portopening tcp 4999 allowagent enable custom 127.0.0.1,localsubnet
'<SYSTEM32>\netsh.exe' firewall set portopening tcp 4998 allowagent enable custom 127.0.0.1,localsubnet
'<SYSTEM32>\netsh.exe' firewall set allowedprogram %WINDIR%\LTsvc\LTSVC.exe AgentService ENABLE
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe' /i %WINDIR%\LTsvc\LTSvcMon.exe
'<SYSTEM32>\net1.exe' Start LTSvcMon
'<SYSTEM32>\netsh.exe' firewall set allowedprogram %WINDIR%\LTsvc\LTSVCmon.exe AgentMonitor ENABLE
'<SYSTEM32>\netsh.exe' firewall set allowedprogram %WINDIR%\LTsvc\LTTray.exe AgentTray ENABLE
'<SYSTEM32>\net1.exe' Stop PSEXESVC
'<SYSTEM32>\netsh.exe' firewall set portopening udp 42000 allowagent enable subnet
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe' /name=LTService /account=localsystem %WINDIR%\LTSvc\LTSVC.exe
'<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\LTsvc\wodVPN.dll"
'<SYSTEM32>\netsh.exe' firewall set portopening udp 42001 allowagent enable subnet
'<SYSTEM32>\netsh.exe' firewall set portopening udp 42004 allowagent enable subnet
'<SYSTEM32>\netsh.exe' firewall set portopening udp 162 allowagent enable subnet
'<SYSTEM32>\netsh.exe' firewall set portopening udp 42002 allowagent enable subnet
'<SYSTEM32>\netsh.exe' firewall set portopening udp 42003 allowagent enable subnet

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%WINDIR%\Temp\Cab3.tmp
%WINDIR%\Temp\Cab1.tmp
%WINDIR%\LTSvc\LTSvcMon.InstallLog
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.InstallLog
%WINDIR%\LTSvc\LTSvcMon.exe
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%WINDIR%\LTSvc\LTSVCMon.txt
%WINDIR%\LTSvc\LTSvcMon.InstallState
%TEMP%\CabF.tmp
%TEMP%\CabD.tmp
%TEMP%\CabB.tmp
%TEMP%\LTErrors.txt
%TEMP%\Cab13.tmp
%TEMP%\Cab11.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%WINDIR%\Temp\Cab5.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\Cab9.tmp
%TEMP%\Cab7.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%WINDIR%\LTSvc\LSR.exe
%WINDIR%\LTSvc\LTSVC.InstallState
%WINDIR%\LTSvc\LTSVC.InstallLog
<Текущая директория>\InstallUtil.InstallLog
%WINDIR%\LTSvc\wodVPN.dll
%WINDIR%\LTSvc\cpuidsdk.dll
%WINDIR%\LTSvc\LTErrors.txt
%WINDIR%\LTSvc\LabTech.ico
%TEMP%\Update.ini
<Текущая директория>\InstallLog.txt
%WINDIR%\LTSvc\Interfaces.dll
%WINDIR%\LTSvc\LTTray.exe
%WINDIR%\LTSvc\LTSVC.exe
%WINDIR%\LTSvc\SCHook.dll
%WINDIR%\LTSvc\vnchooks.dll
%WINDIR%\LTSvc\labvnc.exe
%WINDIR%\LTSvc\ultravnc.ini
%WINDIR%\LTSvc\labvnc.ini
%WINDIR%\LTSvc\cad.exe
%WINDIR%\LTSvc\PS.exe
%WINDIR%\Temp\cpuz135\cpuz135_x32.sys
%WINDIR%\LTSvc\NoSensors
%WINDIR%\LTSvc\sas.dll
%WINDIR%\LTSvc\screenhooks.dll
%WINDIR%\LTSvc\tvnserver.exe

Удаляет следующие файлы:

%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%WINDIR%\Temp\Cab5.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab13.tmp
%TEMP%\CabD.tmp
%TEMP%\CabF.tmp
%WINDIR%\LTSvc\Interfaces.dll
%WINDIR%\Temp\cpuz135\cpuz135_x32.sys
%WINDIR%\LTSvc\LTSVC.InstallLog
%WINDIR%\LTSvc\LTTray.exe
%WINDIR%\Temp\Cab1.tmp
%WINDIR%\Temp\Cab3.tmp
%WINDIR%\LTSvc\NoSensors
<SYSTEM32>\wbem\Logs\FrameWork.log

Сетевая активность:

Подключается к:

'localhost':42004
'localhost':42003
'localhost':42005
'localhost':42006
'localhost':42000
'rm#.####ofessionals.com.au':80
'wp#d':80
'www.download.windowsupdate.com':80
'localhost':42002
'localhost':42001

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
wp#d/wpad.dat
rm#.####ofessionals.com.au/labtech/updates/ForceUpdate.cst

Запросы HTTP POST: