Trojan.DownLoader23.57123

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\AdobeFlashPlayerUpdateSvc] 'ImagePath' = '<SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe'

Вредоносные функции:

Запускает на исполнение:

'%TEMP%\{68E93C1A-9585-4C06-B294-1123FD7929BE}\InstallPlugin_24_0_0_221.exe' -install -msi -prev 0
'<SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe' -install
'<SYSTEM32>\cmd.exe' /c del "%TEMP%\{68E93C1A-9585-4C06-B294-1123FD7929BE}\InstallPlugin_24_0_0_221.exe" >> NUL
'<SYSTEM32>\msiexec.exe' -Embedding CE4DC1DDE9F81557DFBBC0F451246EF1
'%TEMP%\e0faca42-8dce-4519-b35e-c23857d1b940\AdobeFlashPlayer_24.0.0.221_NPAPI_SPS.exe' /S /noupdate /cleaninstall /removesettings
'<SYSTEM32>\msiexec.exe' /i "%TEMP%\65100111981017010897\install_flash_player_24_plugin.msi" /qn /norestart
'<SYSTEM32>\msiexec.exe' /V

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\Macromed\Flash\FlashUtil32_24_0_0_221_Plugin.exe
<SYSTEM32>\Macromed\Flash\FlashUtil32_24_0_0_221_Plugin.dll
<SYSTEM32>\Macromed\Flash\plugin.vch
<SYSTEM32>\Macromed\Temp\{4D66C920-D8FC-4D9C-8745-B31BAAF64051}\fpb.tmp
<SYSTEM32>\Macromed\Temp\{9A986328-ADD6-445F-85E7-52C856B346AB}\fpb.tmp
<SYSTEM32>\Macromed\Flash\NPSWF32_24_0_0_221.dll
<SYSTEM32>\Macromed\Flash\flashplayer.xpt
<SYSTEM32>\Macromed\Flash\FlashInstall.log
%WINDIR%\Installer\26740.msi
%WINDIR%\Installer\{68E93C1A-9585-4C06-B294-1123FD7929BE}\ARPPRODUCTICON.exe
<SYSTEM32>\FlashPlayerCPLApp.cpl
<SYSTEM32>\FlashPlayerApp.exe
<SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe
%WINDIR%\Installer\2673c.msi
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%WINDIR%\SecuniaPackage.log
%TEMP%\e0faca42-8dce-4519-b35e-c23857d1b940\AdobeFlashPlayer_24.0.0.221_NPAPI_SPS.exe
%TEMP%\65100111981017010897\install_flash_player_24_plugin.msi
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%WINDIR%\Installer\MSI8.tmp
C:\Config.Msi\2673f.rbs
%TEMP%\{68E93C1A-9585-4C06-B294-1123FD7929BE}\InstallPlugin_24_0_0_221.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\2673e.ipi

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

http://sw#.#ymcb.com/sw.crt
http://fp######ad2.macromedia.com/get/flashplayer/update/current/install/version.xml24.0.0.221~installVector=2&previousVersion=0.0.0.0&lang=en&cpuWordLength=32&playerType=pl&os=win&osVer=7
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
http://11#.#11.111.1/wpad.dat via wp#d
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: