Trojan.DownLoader25.51162

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%ALLUSERSPROFILE%\Start Menu\Programs\Startup\G8R5yIFx.lnk
%HOMEPATH%\Start Menu\Programs\Startup\G8R5yIFx.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\HtXqI6Fy.exe' "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "LOCAL_78B2EE2F88308B70" "60000"
'%TEMP%\XZahiPwG.exe' "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "WIN_5.1_32|ADMIN_YES|INT_0" "60000"
'%TEMP%\Bsx4vQZZ.exe' "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "195_LESS_1GB" "60000"
'<LS_APPDATA>\Microsoft\eQ7t6D0k.exe' "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" "%APPDATA%\Microsoft\yL8sJhxu.exe" 2
'%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe' XhZTB5c7e8A3ON99
'%TEMP%\y3mNrcag.exe' "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "START" "60000"
'%APPDATA%\Microsoft\yL8sJhxu.exe' "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" "<LS_APPDATA>\Microsoft\eQ7t6D0k.exe" 1

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\Microsoft\yL8sJhxu.exe" > "<LS_APPDATA>\Microsoft\eQ7t6D0k.exe" && "<LS_APPDATA>\Microsoft\eQ7t6D0k.exe" "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" "%APPDATA%\Microsoft\yL8sJhxu.e...
'<SYSTEM32>\cacls.exe' "Z:\.live" /E /G %USERNAME%:F /C
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\!WHATH~1.RTF" > "%HOMEPATH%\Templates\!WhatHappenedWithMyFiles!.rtf"
'<SYSTEM32>\cmd.exe' /C CACLS "Z:\.live" /E /G %USERNAME%:F /C & ATTRIB -R -A -H "Z:\.live"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\0i3CAZwBOXUn\TLPxsmy2.cmd"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\0i3CAZwBOXUn\csYtNq5h.cmd"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\0i3CAZwBOXUn\LrpJwHZ5.cmd"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\0i3CAZwBOXUn\BZistNTz.cmd"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" > "%TEMP%\Bsx4vQZZ.exe" && "%TEMP%\Bsx4vQZZ.exe" "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "195_LESS_1GB" "60000"
'<SYSTEM32>\cmd.exe' /C "%APPDATA%\0i3CAZwBOXUn\vAMOKo69.cmd"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" > "%APPDATA%\Microsoft\yL8sJhxu.exe" && "%APPDATA%\Microsoft\yL8sJhxu.exe" "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" "<LS_APPDATA>\Microsoft\eQ7t6D0k.e...
'<SYSTEM32>\cmd.exe' /C type "<Полный путь к файлу>" > "%APPDATA%\0I3CAZ~1\G8R5yIFx.exe"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" > "%TEMP%\y3mNrcag.exe" && "%TEMP%\y3mNrcag.exe" "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "START" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" > "%TEMP%\HtXqI6Fy.exe" && "%TEMP%\HtXqI6Fy.exe" "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "LOCAL_78B2EE2F88308B70" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" > "%TEMP%\XZahiPwG.exe" && "%TEMP%\XZahiPwG.exe" "%APPDATA%\0i3CAZwBOXUn\" "XhZTB5c7e8A3ON99" "WIN_5.1_32|ADMIN_YES|INT_0" "60000"
'<SYSTEM32>\cmd.exe' /C type "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" > "<LS_APPDATA>\Microsoft\eQ7t6D0k.exe" && "<LS_APPDATA>\Microsoft\eQ7t6D0k.exe" "%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe" "%APPDATA%\Microsoft\yL8sJhx...
'<SYSTEM32>\ping.exe' -n 3 localhost

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Bsx4vQZZ.exe
%HOMEPATH%\Templates\!WhatHappenedWithMyFiles!.rtf
%TEMP%\XZahiPwG.exe
%APPDATA%\!WhatHappenedWithMyFiles!.rtf
%APPDATA%\0i3CAZwBOXUn\TLPxsmy2.cmd
%APPDATA%\0i3CAZwBOXUn\csYtNq5h.cmd
%APPDATA%\0i3CAZwBOXUn\LrpJwHZ5.cmd
%APPDATA%\0i3CAZwBOXUn\BZistNTz.cmd
%TEMP%\y3mNrcag.exe
%APPDATA%\Microsoft\yL8sJhxu.exe
%APPDATA%\0i3CAZwBOXUn\G8R5yIFx.exe
%APPDATA%\0i3CAZwBOXUn\vAMOKo69.cmd
%APPDATA%\78B2EE2F88308B70.sek
%TEMP%\HtXqI6Fy.exe
<LS_APPDATA>\Microsoft\eQ7t6D0k.exe
%APPDATA%\78B2EE2F88308B70.pek

Самоудаляется.

Сетевая активность:

Подключается к:

'ze######ze.temp.swtest.ru':80

TCP:

Запросы HTTP GET:

http://ze######ze.temp.swtest.ru/addrecord.php?ap#####################################################################################################
http://ze######ze.temp.swtest.ru/addrecord.php?ap#######################################################################################
http://ze######ze.temp.swtest.ru/addrecord.php?ap################################################################################
http://ze######ze.temp.swtest.ru/addrecord.php?ap#################################################################################################

UDP: