Trojan.DownLoader3.50067

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\shb\shell\open\command] '' = '%PROGRAM_FILES%\Internet Explorer\iexplore.exe http://www.mylovewebs.com/api/youxi/index.htm'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'flashget' = '%WINDIR%\20110602\8umillc5agddbmvc\smss.exe '
[<HKLM>\SOFTWARE\Classes\HTTP\shell\open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\AllTypes\shell\open\command] '' = '"%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\script.exe" "%1"'
[<HKLM>\SOFTWARE\Classes\tt\shell\open\command] '' = '%PROGRAM_FILES%\Internet Explorer\iexplore.exe http://www.zaodezhu.com/?my=1383'
[<HKLM>\SOFTWARE\Classes\bt\shell\open\command] '' = '%PROGRAM_FILES%\Internet Explorer\iexplore.exe http://www.mylovewebs.com/api/taobao/index.htm'

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\360vbs.jse
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\ .jse

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Создает и запускает на исполнение:

%WINDIR%\20110602\8uMILlc5AgDDBMvC\smss.exe
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\script.exe

Запускает на исполнение:

<SYSTEM32>\cmd.exe /c ""<Полный путь к вирусу>.bat" "
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r everyone
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r system
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r %USERNAME%
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r users
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r user
%WINDIR%\regedit.exe /s %WINDIR%\search.reg
%WINDIR%\regedit.exe /s %WINDIR%\AddRight.reg
<SYSTEM32>\reg.exe add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v "flashget" /d "%WINDIR%\20110602\8umillc5agddbmvc\smss.exe " /f
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r "Power Users"
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r "%USERNAME%"
<SYSTEM32>\xcopy.exe /c /q /y /i XlKankan.dll <SYSTEM32>
<SYSTEM32>\wscript.exe "%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\script.vbs"
<SYSTEM32>\cmd.exe /c ""%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\reg.bat" "
<SYSTEM32>\cmd.exe /c ""%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\script.exe.bat" "
<SYSTEM32>\cmd.exe /c ""%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\Script.vbs.bat" "
%WINDIR%\regedit.exe /s regBHO.reg
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c /r %USERNAME%s
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" /e /c %USERNAME%s:CI
<SYSTEM32>\attrib.exe "%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt" +r +s
<SYSTEM32>\regsvr32.exe /s XlKankan.dll
<SYSTEM32>\cmd.exe /c ""%WINDIR%\20110602\8uMILlc5AgDDBMvC\smss.exe.bat" "

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\data[1].xml
%WINDIR%\Survival_0.txt
%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt
<SYSTEM32>\XlKankan.dll
%WINDIR%\20110602\8uMILlc5AgDDBMvC\smss.exe.bat
%WINDIR%\search.reg
%WINDIR%\AddRight.reg
%WINDIR%\ezecba.vbs
<Полный путь к вирусу>.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\smss[1].htm
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\regBHO.reg
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\XlKankan.dll
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\reg.bat
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\script.exe
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\script.vbs
%WINDIR%\userid.txt
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\Script.vbs.bat
%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\script.exe.bat
%WINDIR%\tao.ico
%WINDIR%\20110602\8uMILlc5AgDDBMvC\smss.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\Desktop\НшЙП№єОп.bt

Удаляет следующие файлы:

%WINDIR%\20110602\ev5GtO2sH2V5V8Ly\script\XlKankan.dll

Самоудаляется.

Сетевая активность:

Подключается к:

'tj.##ppin.cn':80
'di#####.daohang1234.com':80
'localhost':1035
'da###.yoou8.com':80

TCP:

Запросы HTTP GET:

di#####.daohang1234.com/smss.htm?sr#########
tj.##ppin.cnhttp://tj.vippin.cn/api/work.aspx?cm######################################################################################################
da###.yoou8.com/data.xml

UDP: