Trojan.DownLoader18.44377

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Superfetch Machine Class Process' = '<SYSTEM32>\tqtjgevcrv.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Endpoint Shadow WLAN Play Builder Hardware PC] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'<SYSTEM32>\jlzijdvx.exe' "<SYSTEM32>\tqtjgevcrv.exe"
'%WINDIR%\Temp\frfk1i54j8ufr7j.exe' -r 49197 tcp
'%TEMP%\frfk1i50zmufr7jdvcdoc.exe'
'<SYSTEM32>\tqtjgevcrv.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\mtpyxbs\run
<SYSTEM32>\mtpyxbs\rng
%WINDIR%\Temp\frfk1i54j8ufr7j.exe
<SYSTEM32>\mtpyxbs\cfg
<SYSTEM32>\jlzijdvx.exe
%TEMP%\frfk1i50zmufr7jdvcdoc.exe
<SYSTEM32>\mtpyxbs\tst
<SYSTEM32>\tqtjgevcrv.exe
<SYSTEM32>\mtpyxbs\etc

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\jlzijdvx.exe
<SYSTEM32>\tqtjgevcrv.exe

Удаляет следующие файлы:

%WINDIR%\Temp\frfk1i54j8ufr7j.exe
%TEMP%\frfk1i50zmufr7jdvcdoc.exe
<DRIVERS>\etc\hosts

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

've###ause.net':80
'we###hot.net':80
'we###ause.net':80
'we###ure.net':80
've###ure.net':80
've###hot.net':80
'mu###ure.net':80
'pi###cause.net':80
'pi###sure.net':80
'we###ack.net':80
've###ack.net':80
'fa###ack.net':80
'da###ekilai.com':80
'ta###fruit.net':80
'la###onea.com':80
'do####n4guia.com':80
'fr###secas.com':80
'st###march.net':80
'fa###hot.net':80
'to###ack.net':80
'to###hot.net':80
'to###ause.net':80
'fa###ause.net':80

TCP:

Запросы HTTP GET:

http://ve###ause.net/forum/search.php?me#########################################
http://we###hot.net/forum/search.php?me#########################################
http://we###ause.net/forum/search.php?me#########################################
http://we###ure.net/forum/search.php?me#########################################
http://ve###ure.net/forum/search.php?me#########################################
http://ve###hot.net/forum/search.php?me#########################################
http://mu###ure.net/forum/search.php?me#########################################
http://pi###cause.net/forum/search.php?me#########################################
http://pi###sure.net/forum/search.php?me#########################################
http://we###ack.net/forum/search.php?me#########################################
http://ve###ack.net/forum/search.php?me#########################################
http://fa###ack.net/forum/search.php?me#########################################
http://da###ekilai.com/forum/search.php?me#########################################
http://ta###fruit.net/forum/search.php?me#########################################
http://la###onea.com/forum/search.php?me#########################################
http://do####n4guia.com/forum/search.php?me#########################################
http://fr###secas.com/forum/search.php?me#########################################
http://st###march.net/forum/search.php?me#########################################
http://fa###hot.net/forum/search.php?me#########################################
http://to###ack.net/forum/search.php?me#########################################
http://to###hot.net/forum/search.php?me#########################################
http://to###ause.net/forum/search.php?me#########################################
http://fa###ause.net/forum/search.php?me#########################################