BackDoor.Tdss.9564

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\tdl] 'Name' = '%TEMP%\6.tmp'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\gcsmworv.exe
%TEMP%\uisebyg.exe
%TEMP%\lpkmr.exe
%TEMP%\-1998166001
%TEMP%\dxlpsu.exe
%TEMP%\sfch.exe
%TEMP%\vyqnyx.exe
%TEMP%\sejfsi.exe
%TEMP%\gkob.exe
%TEMP%\pefs.exe
%TEMP%\nsr3.tmp\EuroP.exe
%TEMP%\txaqo.exe
%TEMP%\nspnusbl.exe
%TEMP%\nsr3.tmp\CB-WP.exe
%TEMP%\nsr3.tmp\e4u.exe
%TEMP%\nsr3.tmp\converter7.exe
%TEMP%\nsr3.tmp\dnu.exe
%TEMP%\vyqnyx.exe (загружен из сети Интернет)
%TEMP%\sfch.exe (загружен из сети Интернет)
%TEMP%\gkob.exe (загружен из сети Интернет)
%TEMP%\sejfsi.exe (загружен из сети Интернет)
%TEMP%\lpkmr.exe (загружен из сети Интернет)
%TEMP%\nspnusbl.exe (загружен из сети Интернет)
%TEMP%\txaqo.exe (загружен из сети Интернет)
%TEMP%\pefs.exe (загружен из сети Интернет)
%TEMP%\uisebyg.exe (загружен из сети Интернет)
%TEMP%\dxlpsu.exe (загружен из сети Интернет)
%TEMP%\-1998166001 (загружен из сети Интернет)
%TEMP%\gcsmworv.exe (загружен из сети Интернет)

Внедряет код в

следующие системные процессы:

<SYSTEM32>\spoolsv.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\uisebyg.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\gmvsjkh[1].php
%TEMP%\dxlpsu.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ekhrrfst[1].php
%TEMP%\-1998166001
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\birqakky[1].php
%TEMP%\gcsmworv.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\yekhhiijfg[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ybxliiv[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\admwk[1].php
%TEMP%\sfch.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kzwtguher[1].php
%TEMP%\vyqnyx.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xekgqer[1].php
%TEMP%\sejfsi.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\etqrnbbym[1].php
%TEMP%\gkob.exe
%TEMP%\nsr3.tmp\CB-WP.exe
%TEMP%\nsr3.tmp\e4u.exe
%TEMP%\5.tmp
%TEMP%\~4.bat
%TEMP%\nsr3.tmp\converter7.exe
%TEMP%\nsq2.tmp
%TEMP%\nsr3.tmp\EuroP.exe
%TEMP%\nsr3.tmp\dnu.exe
%WINDIR%\Temp\7.tmp
%TEMP%\pefs.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\iolylzjjg[1].php
%TEMP%\lpkmr.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\tfllijwxgu[1].php
%TEMP%\nspnusbl.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tjgcdnnak[1].php
%TEMP%\txaqo.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\wczjgtqqnk[1].php

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\~4.bat

Удаляет следующие файлы:

%TEMP%\nsr3.tmp\EuroP.exe
%WINDIR%\Temp\7.tmp
%TEMP%\~4.bat
%TEMP%\nsr3.tmp\e4u.exe
%TEMP%\6.tmp
%TEMP%\nsr3.tmp\CB-WP.exe
%TEMP%\nsr3.tmp\converter7.exe

Перемещает следующие файлы:

%TEMP%\nsr3.tmp\dnu.exe в %TEMP%\8.tmp
%TEMP%\5.tmp в %TEMP%\6.tmp

Сетевая активность:

Подключается к:

'ab####gnostic.com':80
'yo####tmuseum.com':80

TCP:

Запросы HTTP GET:

ab####gnostic.com/maczjwtq/xekgqer.php?ad########
ab####gnostic.com/maczjwtq/ybxliiv.php?ad########
ab####gnostic.com/maczjwtq/ekhrrfst.php?ad########
ab####gnostic.com/maczjwtq/kzwtguher.php?ad#################################################
ab####gnostic.com/maczjwtq/admwk.php?ad########
ab####gnostic.com/maczjwtq/etqrnbbym.php?ad########
ab####gnostic.com/maczjwtq/gmvsjkh.php?ad########
ab####gnostic.com/maczjwtq/iolylzjjg.php?ad########
ab####gnostic.com/maczjwtq/wczjgtqqnk.php?ad########
ab####gnostic.com/maczjwtq/tjgcdnnak.php?ad########
ab####gnostic.com/maczjwtq/yekhhiijfg.php?ad########
ab####gnostic.com/maczjwtq/birqakky.php?ad########
ab####gnostic.com/maczjwtq/tfllijwxgu.php?ad########