Trojan.DownLoader22.32820

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' advfirewall firewall add rule name = "MiniThunderPlatform" dir = in action = allow program = "%TEMP%\is-E2CII.tmp\download\MiniThunderPlatform.exe" enable = yes
'%TEMP%\is-E2CII.tmp\download\MiniThunderPlatform.exe' -StartTP
'<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name="MiniThunderPlatform"
'%TEMP%\is-FG32O.tmp\<Имя вируса>.tmp' /SL5="$30092,1901374,54272,<Полный путь к вирусу>"
'%TEMP%\is-E2CII.tmp\UCDlr.exe' /SL5=$

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\is-E2CII.tmp\XLBugHandler.dll
%TEMP%\is-E2CII.tmp\XLBugReport.exe
%TEMP%\is-E2CII.tmp\msvcr71.dll
%TEMP%\is-E2CII.tmp\minizip.dll
%TEMP%\is-E2CII.tmp\msvcp71.dll
%ALLUSERSPROFILE%\Application Data\Thunder Network\Mini_downloadlib\ODAwMDAzNjA=\Version_3_2_1_42\Profiles\asyn_frame.dat
%ALLUSERSPROFILE%\Application Data\Thunder Network\Mini_downloadlib\ODAwMDAzNjA=\Version_3_2_1_42\Profiles\stat.dat
%ALLUSERSPROFILE%\Application Data\Thunder Network\Mini_downloadlib\ODAwMDAzNjA=\Version_3_2_1_42\Profiles\error.dat
%TEMP%\is-E2CII.tmp\zlib1.dll
%ALLUSERSPROFILE%\Application Data\Thunder Network\DownloadLib\pub_store.dat
%TEMP%\is-E2CII.tmp\UCDlr.exe
%TEMP%\is-E2CII.tmp\xldl.dll
%TEMP%\is-E2CII.tmp\_isetup\_shfoldr.dll
%TEMP%\is-FG32O.tmp\<Имя вируса>.tmp
%TEMP%\is-E2CII.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-E2CII.tmp\id.dat
%TEMP%\is-E2CII.tmp\MiniThunderPlatform.exe
%TEMP%\is-E2CII.tmp\download_engine.dll
%TEMP%\is-E2CII.tmp\atl71.dll
%TEMP%\is-E2CII.tmp\dl_peer_id.dll

Присваивает атрибут 'скрытый' для следующих файлов:

Перемещает следующие файлы:

%TEMP%\is-E2CII.tmp\msvcr71.dll в %TEMP%\is-E2CII.tmp\download\msvcr71.dll
%TEMP%\is-E2CII.tmp\msvcp71.dll в %TEMP%\is-E2CII.tmp\download\msvcp71.dll
%TEMP%\is-E2CII.tmp\XLBugHandler.dll в %TEMP%\is-E2CII.tmp\download\XLBugHandler.dll
%TEMP%\is-E2CII.tmp\zlib1.dll в %TEMP%\is-E2CII.tmp\download\zlib1.dll
%TEMP%\is-E2CII.tmp\XLBugReport.exe в %TEMP%\is-E2CII.tmp\download\XLBugReport.exe
%TEMP%\is-E2CII.tmp\minizip.dll в %TEMP%\is-E2CII.tmp\download\minizip.dll
%TEMP%\is-E2CII.tmp\dl_peer_id.dll в %TEMP%\is-E2CII.tmp\download\dl_peer_id.dll
%TEMP%\is-E2CII.tmp\atl71.dll в %TEMP%\is-E2CII.tmp\download\atl71.dll
%TEMP%\is-E2CII.tmp\download_engine.dll в %TEMP%\is-E2CII.tmp\download\download_engine.dll
%TEMP%\is-E2CII.tmp\MiniThunderPlatform.exe в %TEMP%\is-E2CII.tmp\download\MiniThunderPlatform.exe
%TEMP%\is-E2CII.tmp\id.dat в %TEMP%\is-E2CII.tmp\download\id.dat

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP POST:

http://xi###ingdou.com/anzhuang.aspx?OU##########################################################################################################################################################...

UDP: