Trojan.DownLoader25.23926

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\SIVDriver] 'ImagePath' = '<DRIVERS>\SIVX32.sys'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\Logs\SysInfo\Tools\SIV32X.exe' -SAVE[devices][device-ids][dimms][driver-vsn][environment][hw-status][interfaces][my-ip-address][overview][pnp-dev][processes][startup][software][system][uaa-dev]
'%WINDIR%\Logs\SysInfo\Tools\Log.exe'
'%WINDIR%\Logs\SysInfo\Tools\DriverView.exe' /shtml %WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\SysInfo\Drivers.htm
'%WINDIR%\Logs\SysInfo\Tools\InstalledDriversList.exe' /shtml %WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\SysInfo\Drivers.html

Запускает на исполнение:

'<SYSTEM32>\dxdiag.exe' /t %WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\System\DxDiag.txt

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Logs\SysInfo\Tools\www.SamLab.ws.url
%WINDIR%\Logs\SysInfo\Tools\wput.exe
%WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\SysInfo\Drivers.htm
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%WINDIR%\Logs\SysInfo\Tools\usbdevs.txt
%WINDIR%\Logs\SysInfo\Tools\mondevs.txt
%WINDIR%\Logs\SysInfo\Tools\hidec.exe
%WINDIR%\Logs\SysInfo\Tools\pcidevs.txt
%WINDIR%\Logs\SysInfo\Tools\pnpdevs.txt
%WINDIR%\Logs\SysInfo\Tools\pcmdevs.txt
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\ip-city[1]
%WINDIR%\Logs\SysInfo\Tools\SIV_CRNJEUFU.txt
%WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\System\setupapi.log
%WINDIR%\Logs\SysInfo\Tools\Log.exe
%WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\SysInfo\SIV_CRNJEUFU.txt
<DRIVERS>\SIVX32.sys
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab4.tmp
%WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\System\DxDiag.txt
%WINDIR%\Logs\SysInfo\LOGs\CRNJEUFU\SysInfo\Drivers.html
%WINDIR%\Logs\SysInfo\Tools\fix_dll.cmd
%WINDIR%\Logs\SysInfo\Tools\DriverView.exe
%WINDIR%\Logs\SysInfo\Tools\DevManView.exe
%WINDIR%\Logs\SysInfo\Tools\DriverView64.exe
%WINDIR%\Logs\SysInfo\Tools\HWIDs.cmd
%WINDIR%\Logs\SysInfo\Tools\ExecutedProgramsList.exe
%WINDIR%\Logs\SysInfo\Tools\CProcess.exe
%WINDIR%\Logs\SysInfo\Tools\7za.exe
%TEMP%\nsj2.tmp
%WINDIR%\Logs\SysInfo\Tools\AppCrashView.exe
%WINDIR%\Logs\SysInfo\Tools\BoxCutter.exe
%WINDIR%\Logs\SysInfo\Tools\BlueScreenView.exe
%WINDIR%\Logs\SysInfo\Tools\SIVX64.sys
%WINDIR%\Logs\SysInfo\Tools\SIVX32.sys
%WINDIR%\Logs\SysInfo\Tools\SysInf.bat
%WINDIR%\Logs\SysInfo\Tools\WinAudit.exe
%WINDIR%\Logs\SysInfo\Tools\WhatInStartup.exe
%WINDIR%\Logs\SysInfo\Tools\SIV64X.exe
%WINDIR%\Logs\SysInfo\Tools\InstalledDriversList64.exe
%WINDIR%\Logs\SysInfo\Tools\InstalledDriversList.exe
%WINDIR%\Logs\SysInfo\Tools\LastActivityView.exe
%WINDIR%\Logs\SysInfo\Tools\SIV32X.exe
%WINDIR%\Logs\SysInfo\Tools\SDI-drv.exe

Удаляет следующие файлы:

%TEMP%\Cab4.tmp

Сетевая активность:

Подключается к:

'ap#.##infodb.com':80
'www.download.windowsupdate.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
http://ap#.##infodb.com/v3/ip-city?fo#############################################################################
http://11#.#11.111.1/wpad.dat via wp#d
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: