Trojan.DownLoader12.24720

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\reg.exe

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\reg.exe

Удаляет следующие файлы:

<SYSTEM32>\PerfStringBackup.TMP
<SYSTEM32>\wbem\Performance\WmiApRpl.ini

Сетевая активность:

Подключается к:

'a1#####6.linkbucks.com':80
'db#####e.linkbucks.com':80
'1f#####f.linkbucks.com':80
'e3#####4.linkbucks.com':80
'fb#####3.linkbucks.com':80
'c8#####c.linkbucks.com':80
'43#####d.linkbucks.com':80
'ho##ile.com':80
'vi######223.freehostia.com':80
'wp#d':80
'b0####71.qvvo.com':80
'90#####5.linkbucks.com':80
'58#####7.linkbucks.com':80
'b0####59.ubucks.net':80

TCP:

Запросы HTTP GET:

e3#####4.linkbucks.com/
a1#####6.linkbucks.com/RecordClick.aspx?id####################################################################
e3#####4.linkbucks.com/RecordClick.aspx?id####################################################################
e3#####4.linkbucks.com/RecordClickv2.aspx?id####################################################################
db#####e.linkbucks.com/RecordClick.aspx?id####################################################################
db#####e.linkbucks.com/RecordClickv2.aspx?id####################################################################
a1#####6.linkbucks.com/RecordClickv2.aspx?id####################################################################
a1#####6.linkbucks.com/
43#####d.linkbucks.com/
fb#####3.linkbucks.com/
c8#####c.linkbucks.com/RecordClick.aspx?id####################################################################
fb#####3.linkbucks.com/RecordClick.aspx?id####################################################################
fb#####3.linkbucks.com/RecordClickv2.aspx?id####################################################################
43#####d.linkbucks.com/RecordClick.aspx?id####################################################################
43#####d.linkbucks.com/RecordClickv2.aspx?id####################################################################
c8#####c.linkbucks.com/RecordClickv2.aspx?id####################################################################
c8#####c.linkbucks.com/
db#####e.linkbucks.com/
b0####59.ubucks.net/
b0####71.qvvo.com/RecordClick.aspx?id####################################################################
b0####59.ubucks.net/RecordClick.aspx?id####################################################################
b0####59.ubucks.net/RecordClickv2.aspx?id####################################################################
vi######223.freehostia.com/reg.txt
wp#d/wpad.dat
b0####71.qvvo.com/RecordClickv2.aspx?id####################################################################
b0####71.qvvo.com/
58#####7.linkbucks.com/
1f#####f.linkbucks.com/
90#####5.linkbucks.com/RecordClick.aspx?id####################################################################
1f#####f.linkbucks.com/RecordClick.aspx?id####################################################################
1f#####f.linkbucks.com/RecordClickv2.aspx?id####################################################################
58#####7.linkbucks.com/RecordClick.aspx?id####################################################################
58#####7.linkbucks.com/RecordClickv2.aspx?id####################################################################
90#####5.linkbucks.com/RecordClickv2.aspx?id####################################################################
90#####5.linkbucks.com/