Trojan.DownLoader10.16168

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ofobyfyw' = '"%WINDIR%\uhok\ofuvaguh.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ejecysos' = '"%WINDIR%\uhok\ofuvaguh.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'eraviwaz' = '"%WINDIR%\enab\owokiwtc.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ukywabix' = '"%WINDIR%\qquj\ojizovef.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'emoputem' = '"%WINDIR%\yhuf\esajehyq.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ykomigth' = '"%WINDIR%\umal\emypdwed.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ahisslap' = '"%WINDIR%\izyr\otycuvec.exe"'

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\attrib.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\cmd.exe
<SYSTEM32>\alg.exe
<SYSTEM32>\services.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\smss.exe
<SYSTEM32>\attrib.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Application Data\iqicakas\ilugemsl.dat
%ALLUSERSPROFILE%\Application Data\ohycepes\ycocogkf.dat
%ALLUSERSPROFILE%\Application Data\ygygelyx\erdjkzyf.dat
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\130d61a4-cfce-4a97-8b91-194420aed13a
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\3d6acdca-bba0-4b6e-9c3e-8da13bf786e6
%WINDIR%\umal\emypdwed.exe
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
%ALLUSERSPROFILE%\Application Data\xmunureq\ebiruhok.dat
%WINDIR%\qquj\ojizovef.exe
%WINDIR%\uhok\ofuvaguh.exe
%WINDIR%\enab\owokiwtc.exe
%WINDIR%\izyr\otycuvec.exe
%ALLUSERSPROFILE%\Application Data\yvicavuc\obesonyt.dat
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\970a6f16-94a7-406a-8f9c-ace3ed16ed8b
%ALLUSERSPROFILE%\Application Data\obzhckak\uhenuraf.dat
%ALLUSERSPROFILE%\Application Data\tcusyhan\umehonuk.dat
%ALLUSERSPROFILE%\Application Data\Sun\umehonuk.bkp
%ALLUSERSPROFILE%\Application Data\tcusyhan\eqasajan.dat
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\91847bbb-3c62-4eb5-ac42-ef3f9e47be24
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%ALLUSERSPROFILE%\Application Data\Sun\eqasajan.bkp
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\0f4b79f5-2dfd-4900-b082-76c2da6e3abb
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\e4bfef66-4111-4c6b-9071-e1b1069bee3d
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
%ALLUSERSPROFILE%\Application Data\tcusyhan\esumipaq.dat
%ALLUSERSPROFILE%\Application Data\tcusyhan\ngufyzyg.dat
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1
%WINDIR%\yhuf\esajehyq.exe