Trojan.DownLoader13.15260

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Samsung Appstore' = '"%APPDATA%\Roaming\Mozila\autoit.exe" "%APPDATA%\Roaming\Mozila\up.au3"'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Roaming\Mozila\autoit.exe' reg.au3
'%APPDATA%\Roaming\Mozila\autoit.exe' "%APPDATA%\Roaming\Mozila\ekl.au3"
'%APPDATA%\Roaming\Mozila\autoit.exe' "%APPDATA%\Roaming\Mozila\force.au3"

Запускает на исполнение:

'<SYSTEM32>\conhost.exe' up.au3
'<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Samsung Appstore" /d "\"%APPDATA%\Roaming\Mozila\autoit.exe\" \"%APPDATA%\Roaming\Mozila\up.au3\"" /f

Завершает или пытается завершить

следующие пользовательские процессы:

opera.exe
firefox.exe
chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Desktop\chrome.lnk
\Device\Mup\BVNSEUHJ*\MAILSLOT\NET\NETLOGON
%APPDATA%\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\chrome.lnk
%APPDATA%\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\chrome.lnk
%APPDATA%\Roaming\Mozila\ver.dat
%APPDATA%\Roaming\Mozila\up.au3
%APPDATA%\Roaming\Mozila\reg.au3
%APPDATA%\Roaming\Mozila\vayaq.txt
%APPDATA%\Roaming\Mozila\force.au3
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\LOG
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000002.dbtmp
<LS_APPDATA>\Google\Chrome\User Data\Default\D9DB.tmp
<LS_APPDATA>\Google\Chrome\User Data\Default\B4FC.tmp
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\MANIFEST-000002
%HOMEPATH%\Desktop\Internet Explorer.lnk
%HOMEPATH%\Desktop\Google Chrome.lnk
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000001.dbtmp
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\MANIFEST-000001
%APPDATA%\Roaming\Mozila\ekl.au3
%APPDATA%\Roaming\Mozila\autoit.exezip
%APPDATA%\Roaming\Mozila\force.au3.sifreli
%APPDATA%\Roaming\Mozila\reg.au3zip
%APPDATA%\Roaming\Mozila\ekl.au3zip
%APPDATA%\Roaming\Mozila\sabit.au3.sifreli
%APPDATA%\Roaming\Mozila\ekl.au3.sifreli
%APPDATA%\Roaming\Mozila\autoit.exe.sifreli
%APPDATA%\Roaming\Mozila\reg.au3.sifreli
%APPDATA%\Roaming\Mozila\up.au3.sifreli
%APPDATA%\Roaming\Mozila\up.au3x
%APPDATA%\Roaming\Mozila\reg.au3x
%APPDATA%\Roaming\Mozila\force.au3x
%APPDATA%\Roaming\Mozila\sabit.au3
%APPDATA%\Roaming\Mozila\ekl.au3x
%APPDATA%\Roaming\Mozila\sabit.au3zip
%APPDATA%\Roaming\Mozila\up.au3zip
%APPDATA%\Roaming\Mozila\autoit.exe
%APPDATA%\Roaming\Mozila\force.au3zip

Удаляет следующие файлы:

%APPDATA%\Roaming\Mozila\reg.au3.sifreli
%APPDATA%\Roaming\Mozila\sabit.au3.sifreli
%APPDATA%\Roaming\Mozila\force.au3.sifreli
%APPDATA%\Roaming\Mozila\autoit.exe.sifreli
%APPDATA%\Roaming\Mozila\ekl.au3.sifreli
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\MANIFEST-000001
<LS_APPDATA>\Google\Chrome\User Data\Default\B4FC.tmp
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT~RF6b26d.TMP
%APPDATA%\Roaming\Mozila\up.au3.sifreli
%HOMEPATH%\Desktop\chrome.lnk
%APPDATA%\Roaming\Mozila\reg.au3zip
%APPDATA%\Roaming\Mozila\sabit.au3zip
%APPDATA%\Roaming\Mozila\force.au3zip
%APPDATA%\Roaming\Mozila\autoit.exezip
%APPDATA%\Roaming\Mozila\ekl.au3zip
%APPDATA%\Roaming\Mozila\reg.au3x
%APPDATA%\Roaming\Mozila\up.au3x
%APPDATA%\Roaming\Mozila\force.au3x
%APPDATA%\Roaming\Mozila\up.au3zip
%APPDATA%\Roaming\Mozila\ekl.au3x

Перемещает следующие файлы:

<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT в <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT~RF6b26d.TMP
<LS_APPDATA>\Google\Chrome\User Data\Default\D9DB.tmp в <LS_APPDATA>\Google\Chrome\User Data\Default\TransportSecurity
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000001.dbtmp в <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT
<LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\000002.dbtmp в <LS_APPDATA>\Google\Chrome\User Data\Default\Extension Rules\CURRENT

Сетевая активность:

UDP:

DNS ASK ru#####tic.pingdom.net
DNS ASK www.go#####analytics.com
DNS ASK sa#####wsing.google.com
DNS ASK www.al####maravaas.pw
DNS ASK dn#.##ftncsi.com
DNS ASK d2#######clgz3.cloudfront.net

Другое:

Ищет следующие окна:

ClassName: 'Chrome_MessageWindow' WindowName: '<LS_APPDATA>\Google\Chrome\User Data'
ClassName: 'Indicator' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''