Trojan.DownLoader4.52249

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LivePrivacy' = '"%PROGRAM_FILES%\LivePrivacy\LivePrivacy.exe" /run1'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\benjaminp] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\LivePrivacy\kbpro_grace.exe (загружен из сети Интернет)
%PROGRAM_FILES%\LivePrivacy\LivePrivacy.exe /run2 /run1
%PROGRAM_FILES%\LivePrivacy\LivePrivacycfg.exe /run2
%PROGRAM_FILES%\LivePrivacy\AddScheduler_.exe /N:'LivePrivacy_uninst' /P:'%PROGRAM_FILES%\LivePrivacy\uninst.exe'
%APPDATA%\lpcyg\LivePrivacy_grace_s.exe
%APPDATA%\lpcyg\benjaminp.exe
%PROGRAM_FILES%\LivePrivacy\AddScheduler.exe /N:'LivePrivacy' /P:'%PROGRAM_FILES%\LivePrivacy\LivePrivacycfg.exe' /A:'/run2'

Запускает на исполнение:

<SYSTEM32>\cmd.exe /c del.bat
<SYSTEM32>\schtasks.exe /create /tn:"LivePrivacy_uninst" /xml "%PROGRAM_FILES%\LivePrivacy\LivePrivacy_uninst.xml"
<SYSTEM32>\cmd.exe /c \DelUS.bat
<SYSTEM32>\schtasks.exe /create /tn:"LivePrivacy" /xml "%PROGRAM_FILES%\LivePrivacy\LivePrivacy.xml"

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\LivePrivacy\LivePrivacy_uninst.xml
%TEMP%\nso7.tmp\SelfDelete.dll
%PROGRAM_FILES%\LivePrivacy\uninst.exe
%ALLUSERSPROFILE%\Start Menu\Programs\¶уАМєкЗБ¶уАМ№цЅГ\¶уАМєкЗБ¶уАМ№цЅГ Б¦°Е.lnk
%PROGRAM_FILES%\LivePrivacy\LivePrivacy.xml
%PROGRAM_FILES%\LivePrivacy\AddScheduler_.exe
%PROGRAM_FILES%\LivePrivacy\del.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\check_counter[1].php
%TEMP%\nsn6.tmp\System.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\partner_info[1].ini
%PROGRAM_FILES%\LivePrivacy\kbpro_grace.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\version[1].ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\update_data[1].ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\count[1].php
%TEMP%\nsn6.tmp\DLLWebCount.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\kbpro_grace[1]._log
%TEMP%\nsn6.tmp\inetc.dll
%TEMP%\nsi5.tmp
%TEMP%\nsisos.dll
%PROGRAM_FILES%\benjaminp\benjaminp.dll
%TEMP%\nsn6.tmp\SelfDelete.dll
%APPDATA%\lpcyg\benjaminp.exe
%APPDATA%\lpcyg\LivePrivacy_grace_s.exe
C:\DelUS.bat
%TEMP%\nsl2.tmp\SelfDelete.dll
%TEMP%\nso7.tmp\SetServicePt.dll
%PROGRAM_FILES%\LivePrivacy\LivePrivacyMon.exe
%ALLUSERSPROFILE%\Start Menu\Programs\¶уАМєкЗБ¶уАМ№цЅГ\¶уАМєкЗБ¶уАМ№цЅГ.lnk
%PROGRAM_FILES%\LivePrivacy\AddScheduler.exe
%PROGRAM_FILES%\LivePrivacy\LivePrivacycfg.exe
%TEMP%\nso7.tmp\System.dll
%PROGRAM_FILES%\LivePrivacy\LivePrivacy.exe
%TEMP%\nso7.tmp\DLLWebCount.dll
%TEMP%\nso7.tmp\Math.dll

Удаляет следующие файлы:

%PROGRAM_FILES%\LivePrivacy\AddScheduler_.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\count[1].php
%PROGRAM_FILES%\LivePrivacy\AddScheduler.exe
%PROGRAM_FILES%\LivePrivacy\LivePrivacy_uninst.xml
%APPDATA%\lpcyg\LivePrivacy_grace_s.exe
%TEMP%\nsn6.tmp\SelfDelete.dll
%TEMP%\nsn6.tmp\System.dll
%TEMP%\nsn6.tmp\DLLWebCount.dll
%TEMP%\nsn6.tmp\inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\check_counter[1].php
%PROGRAM_FILES%\LivePrivacy\LivePrivacy.xml
%TEMP%\nsl2.tmp\SelfDelete.dll
%TEMP%\nsisos.dll
%TEMP%\nso7.tmp\DLLWebCount.dll
%TEMP%\nso7.tmp\SetServicePt.dll
%TEMP%\nso7.tmp\System.dll
%TEMP%\nso7.tmp\Math.dll
%TEMP%\nso7.tmp\SelfDelete.dll

Сетевая активность:

Подключается к:

'fi##.#bpro.co.kr':80
'li###rivacy.kr':80
'xp###nter.co.kr':80

TCP:

Запросы HTTP GET:

li###rivacy.kr/update_data.ini
li###rivacy.kr/version.ini
li###rivacy.krhttp://www.liveprivacy.kr/app/licensechk.php?sn###########################
li###rivacy.kr/partner/partner_info.ini
xp###nter.co.kr/check_counter.php?pi########################################
li###rivacy.kr/app/count.php?ki####################
fi##.#bpro.co.kr/liveprivacy/kbpro_grace._log

UDP: