Trojan.DownLoader9.9822

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\360═°╓╖фп└└╞ў.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\╛°╔л┬╫└э╡ч╙░.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\*.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\╫└├ц\╨▌╧╨╨б╙╬╧╖.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\╫└├ц\╚╒╫м╬х░┘╘к.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\╚╒╫м╬х░┘╘к.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\╨▌╧╨╨б╙╬╧╖.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\╫└├ц\Intermet Expleror.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\╠╘▒ж╣║╬я.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\Intermet Expleror.lnk" +R +S
'<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
'<SYSTEM32>\rundll32.exe' SETUPAPI.DLL,InstallHinfSection DefaultInstall 128 C:\TmpInf.inf
'<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
'<SYSTEM32>\wscript.exe' "<SYSTEM32>\qq3.vbs"
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\main.bat" "
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\╫└├ц\╠╘▒ж╣║╬я.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\╫└├ц\╛°╔л┬╫└э╡ч╙░.lnk" +R +S
'<SYSTEM32>\attrib.exe' "%HOMEPATH%\╫└├ц\360═°╓╖фп└└╞ў.lnk" +R +S
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\grpconv.exe' -o

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\ququ1.vbs
<SYSTEM32>\game.ico
<SYSTEM32>\ie.url
<SYSTEM32>\hao.vbs
<SYSTEM32>\game.url
<SYSTEM32>\360.url
<SYSTEM32>\ququ4.vbs
<SYSTEM32>\360网址浏览器.lnk
<SYSTEM32>\360安全.lnk
<SYSTEM32>\Internet ExpIorer.lnk
C:\TmpInf.inf
<SYSTEM32>\qq1.vbs
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\30909[1]
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorrer фп└└╞ў.lnk
<SYSTEM32>\qq4.vbs
<SYSTEM32>\mm.ico
<SYSTEM32>\main.bat
<SYSTEM32>\qq3.vbs
<SYSTEM32>\qq2.vbs
<SYSTEM32>\systemstart.vbs
<SYSTEM32>\systemqq.vbs
<SYSTEM32>\taobao.ico
<SYSTEM32>\taobao.url
<SYSTEM32>\sy.reg
<SYSTEM32>\qq.ico
<SYSTEM32>\123456789.vbs
<SYSTEM32>\start.bat
<SYSTEM32>\sp.url
<SYSTEM32>\theworld.ico
<SYSTEM32>\赚钱生意经.lnk
<SYSTEM32>\小游戏.lnk
<SYSTEM32>\ququ3.vbs
<SYSTEM32>\ququ2.vbs
<SYSTEM32>\腾讯QQ.lnk
<SYSTEM32>\zq.ico
<SYSTEM32>\zhuan.url
<SYSTEM32>\淘宝购物.lnk
<SYSTEM32>\绝色伦理电影.lnk