Trojan.DownLoader25.4446

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ZAM] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\ZAM] 'ImagePath' = '<DRIVERS>\zam32.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\ZAM_Guard] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\ZAM_Guard] 'ImagePath' = '<DRIVERS>\zamguard32.sys'

Вредоносные функции:

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtTerminateProcess, драйвер-обработчик: zamguard32.sys
NtOpenProcess, драйвер-обработчик: zamguard32.sys

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Romanian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Portuguese.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Polish.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Russian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Swedish.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Spanish.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Serbian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Italian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Indonesian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Hungarian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Korean.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Persian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Lithuanian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Latvian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Telugu.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Macedonian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Hebrew.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Slovenian.ini
<DRIVERS>\zam32.sys
%WINDIR%\ZAM.krnl.trace
%WINDIR%\ZAM_Guard.krnl.trace
<LS_APPDATA>\Zemana\Zemana AntiMalware\settings.db
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Vietnamese.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Ukrainian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Turkish.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Norwegian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Slovak.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Kurdish.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Malaysian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Hindi.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\nedb.zdb
%TEMP%\Cab5.tmp
%TEMP%\Cab3.tmp
<LS_APPDATA>\Zemana\Zemana AntiMalware\nedb.zdb_config.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Arabic.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Albanian.ini
<DRIVERS>\zamguard32.sys
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\{4F30D88D-909D-4640-A4DF-95C4466B52CB}.cat
<LS_APPDATA>\Zemana\Tracer\<Имя файла>.trace
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\Cab1.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Bengali.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\English.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Dutch.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Croatian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Estonian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\German.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\French.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Finnish.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Bulgarian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\BrazilianPortuguese.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Bosnian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Byelorussian.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\ChineseTraditional.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\ChineseSimplified.ini
<LS_APPDATA>\Zemana\Zemana AntiMalware\lang\Czech.ini

Удаляет следующие файлы:

%TEMP%\{4F30D88D-909D-4640-A4DF-95C4466B52CB}.cat
<SYSTEM32>\d3d9caps.dat
%TEMP%\Cab5.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp

Подменяет следующие файлы:

<SYSTEM32>\d3d9caps.tmp
<SYSTEM32>\d3d9caps.dat

Сетевая активность:

Подключается к:

'dl##.zemana.com':80
'za####ud.zemana.com':80
'www.download.windowsupdate.com':80
'wp#d':80
'ca#####.digicert.com':80

TCP:

Запросы HTTP GET:

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
http://dl##.zemana.com/CacheControl.bin
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
http://11#.#11.111.1/wpad.dat via wp#d
http://ca#####.digicert.com/DigiCertHighAssuranceEVRootCA.crt

Запросы HTTP POST: