Trojan.DownLoader15.63915

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GuaZhuan' = '"<Полный путь к вирусу>" -autorun '

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\h5[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\K5MN4DYN\CFGUpdate[1].5&checksum=&cid=0D684FCBDE674B1AB58D3318D9C01CE1&rd=15143
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\h1[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\f8[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\h1[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\c56d76ae44c49a7e15231cb5b257d2355828cd7f253b2d1b561e858e7f6ee8b7214d9198839455de2438cd0b284e6067181c2187a139e96fb267573c095bba...
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\K5MN4DYN\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\CFGUpdate[1].5&checksum=&cid=0D684FCBDE674B1AB58D3318D9C01CE1&rd=6898
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\K5MN4DYN\h5[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\c56d76ae44c49a7e15231cb5b257d235ee3ee93c0928206b34f0a507277566665e43361a01d5128551d1a76da2a68ebaaf82680e59ea958ae3d3ae52e26603...
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\K5MN4DYN\f2[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\cfg.ini
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\index.dat
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\h1[1].htm
%APPDATA%\LSinglePro\log.txt
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\K5MN4DYN\desktop.ini
%APPDATA%\LSinglePro\TFExecuter4\cfg.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\CFGUpdate[1].5&checksum=&cid=A38B0B417A19421A89A77FD545FD5AEC&rd=9507

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\K5MN4DYN\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\desktop.ini

Удаляет следующие файлы:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\f8[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\7CQI2AU9\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\K5MN4DYN\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\Y5IYN3GH\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\h1[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SV49474N\f8[1].htm

Сетевая активность:

Подключается к:

'ap#.#ap1000.com':8011
'ap#.##uliangbao.cn':80

TCP:

Запросы HTTP GET:

http://ap#.##uliangbao.cn/redirect/CFGUpdate?nu################################################################
http://ap#.##uliangbao.cn/clt/jobid/c56d76ae44c49a7e15231cb5b257d235ee3ee93c0928206b34f0a507277566665e43361a01d5128551d1a76da2a68ebaaf82680e59ea958ae3d3ae52e26603c6b36823cdbaf208fa6a06af77df213...
http://ap#.##uliangbao.cn/redirect/CFGUpdate?nu###############################################################
http://ap#.##uliangbao.cn/clt/jobid/c56d76ae44c49a7e15231cb5b257d2355828cd7f253b2d1b561e858e7f6ee8b7214d9198839455de2438cd0b284e6067181c2187a139e96fb267573c095bba1c14987b68b164765a34569eefb8bfe...

Запросы HTTP POST: