Trojan.Encoder.17541

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dmutsapi' = '%APPDATA%\Microsoft\Corppres\aaaanfig.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Corppres\aaaanfig.exe' "<Полный путь к файлу>"
'<Полный путь к файлу>'

Запускает на исполнение:

'<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
'<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\7E1A.bi1"
'<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\7E16.bi1"
'<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\7E16.bi1"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\31EA\30.bat" "%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "<Полный путь к файлу>""
'<SYSTEM32>\cmd.exe' /C ""%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "<Полный путь к файлу>""
'<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\7E1A.bi1"

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

следующие пользовательские процессы:

opera.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\5E.tmp
%TEMP%\5D.tmp
%TEMP%\60.tmp
%TEMP%\5F.tmp
%TEMP%\5A.tmp
%TEMP%\59.tmp
%TEMP%\5C.tmp
%TEMP%\5B.tmp
%TEMP%\61.tmp
%TEMP%\67.tmp
%TEMP%\66.tmp
%TEMP%\69.tmp
%TEMP%\68.tmp
%TEMP%\63.tmp
%TEMP%\62.tmp
%TEMP%\65.tmp
%TEMP%\64.tmp
%TEMP%\58.tmp
%TEMP%\4C.tmp
%TEMP%\4B.tmp
%TEMP%\4E.tmp
%TEMP%\4D.tmp
%TEMP%\48.tmp
%TEMP%\47.tmp
%TEMP%\4A.tmp
%TEMP%\49.tmp
%TEMP%\4F.tmp
%TEMP%\55.tmp
%TEMP%\54.tmp
%TEMP%\57.tmp
%TEMP%\56.tmp
%TEMP%\51.tmp
%TEMP%\50.tmp
%TEMP%\53.tmp
%TEMP%\52.tmp
%TEMP%\6A.tmp
%TEMP%\82.tmp
%TEMP%\81.tmp
%TEMP%\84.tmp
%TEMP%\83.tmp
%TEMP%\7E.tmp
%TEMP%\7D.tmp
%TEMP%\80.tmp
%TEMP%\7F.tmp
%TEMP%\85.tmp
%TEMP%\8B.tmp
%TEMP%\8A.tmp
%TEMP%\7E16.bi1
%TEMP%\7E1A.bi1
%TEMP%\87.tmp
%TEMP%\86.tmp
%TEMP%\89.tmp
%TEMP%\88.tmp
%TEMP%\7C.tmp
%TEMP%\70.tmp
%TEMP%\6F.tmp
%TEMP%\72.tmp
%TEMP%\71.tmp
%TEMP%\6C.tmp
%TEMP%\6B.tmp
%TEMP%\6E.tmp
%TEMP%\6D.tmp
%TEMP%\73.tmp
%TEMP%\79.tmp
%TEMP%\78.tmp
%TEMP%\7B.tmp
%TEMP%\7A.tmp
%TEMP%\75.tmp
%TEMP%\74.tmp
%TEMP%\77.tmp
%TEMP%\76.tmp
%TEMP%\17.tmp
%TEMP%\16.tmp
%TEMP%\19.tmp
%TEMP%\18.tmp
%TEMP%\13.tmp
%TEMP%\12.tmp
%TEMP%\15.tmp
%TEMP%\14.tmp
%TEMP%\1A.tmp
%TEMP%\20.tmp
%TEMP%\1F.tmp
%TEMP%\22.tmp
%TEMP%\21.tmp
%TEMP%\1C.tmp
%TEMP%\1B.tmp
%TEMP%\1E.tmp
%TEMP%\1D.tmp
%TEMP%\11.tmp
%TEMP%\6.tmp
%TEMP%\5.tmp
%TEMP%\8.tmp
%TEMP%\7.tmp
%TEMP%\2.tmp
%TEMP%\1.tmp
%TEMP%\4.tmp
%TEMP%\3.tmp
%TEMP%\9.tmp
%TEMP%\F.tmp
%TEMP%\E.tmp
%APPDATA%\Microsoft\Corppres\aaaanfig.exe
%TEMP%\10.tmp
%TEMP%\B.tmp
%TEMP%\A.tmp
%TEMP%\D.tmp
%TEMP%\C.tmp
%TEMP%\23.tmp
%TEMP%\3B.tmp
%TEMP%\3A.tmp
%TEMP%\3D.tmp
%TEMP%\3C.tmp
%TEMP%\37.tmp
%TEMP%\36.tmp
%TEMP%\39.tmp
%TEMP%\38.tmp
%TEMP%\3E.tmp
%TEMP%\44.tmp
%TEMP%\43.tmp
%TEMP%\46.tmp
%TEMP%\45.tmp
%TEMP%\40.tmp
%TEMP%\3F.tmp
%TEMP%\42.tmp
%TEMP%\41.tmp
%TEMP%\35.tmp
%TEMP%\29.tmp
%TEMP%\28.tmp
%TEMP%\2B.tmp
%TEMP%\2A.tmp
%TEMP%\25.tmp
%TEMP%\24.tmp
%TEMP%\27.tmp
%TEMP%\26.tmp
%TEMP%\2C.tmp
%TEMP%\32.tmp
%TEMP%\31.tmp
%TEMP%\34.tmp
%TEMP%\33.tmp
%TEMP%\2E.tmp
%TEMP%\2D.tmp
%TEMP%\30.tmp
%TEMP%\2F.tmp

Удаляет следующие файлы:

%TEMP%\5F.tmp
%TEMP%\5E.tmp
%TEMP%\61.tmp
%TEMP%\60.tmp
%TEMP%\5B.tmp
%TEMP%\5A.tmp
%TEMP%\5D.tmp
%TEMP%\5C.tmp
%TEMP%\62.tmp
%TEMP%\68.tmp
%TEMP%\67.tmp
%TEMP%\6A.tmp
%TEMP%\69.tmp
%TEMP%\64.tmp
%TEMP%\63.tmp
%TEMP%\66.tmp
%TEMP%\65.tmp
%TEMP%\59.tmp
%TEMP%\4D.tmp
%TEMP%\4C.tmp
%TEMP%\4F.tmp
%TEMP%\4E.tmp
%TEMP%\49.tmp
%TEMP%\48.tmp
%TEMP%\4B.tmp
%TEMP%\4A.tmp
%TEMP%\50.tmp
%TEMP%\56.tmp
%TEMP%\55.tmp
%TEMP%\58.tmp
%TEMP%\57.tmp
%TEMP%\52.tmp
%TEMP%\51.tmp
%TEMP%\54.tmp
%TEMP%\53.tmp
%TEMP%\6B.tmp
%TEMP%\83.tmp
%TEMP%\82.tmp
%TEMP%\85.tmp
%TEMP%\84.tmp
%TEMP%\7F.tmp
%TEMP%\7E.tmp
%TEMP%\81.tmp
%TEMP%\80.tmp
%TEMP%\86.tmp
<Полный путь к файлу>
%TEMP%\8B.tmp
%TEMP%\7E16.bi1
%TEMP%\7E1A.bi1
%TEMP%\88.tmp
%TEMP%\87.tmp
%TEMP%\8A.tmp
%TEMP%\89.tmp
%TEMP%\7D.tmp
%TEMP%\71.tmp
%TEMP%\70.tmp
%TEMP%\73.tmp
%TEMP%\72.tmp
%TEMP%\6D.tmp
%TEMP%\6C.tmp
%TEMP%\6F.tmp
%TEMP%\6E.tmp
%TEMP%\74.tmp
%TEMP%\7A.tmp
%TEMP%\79.tmp
%TEMP%\7C.tmp
%TEMP%\7B.tmp
%TEMP%\76.tmp
%TEMP%\75.tmp
%TEMP%\78.tmp
%TEMP%\77.tmp
%TEMP%\18.tmp
%TEMP%\17.tmp
%TEMP%\1A.tmp
%TEMP%\19.tmp
%TEMP%\14.tmp
%TEMP%\13.tmp
%TEMP%\16.tmp
%TEMP%\15.tmp
%TEMP%\1B.tmp
%TEMP%\21.tmp
%TEMP%\20.tmp
%TEMP%\23.tmp
%TEMP%\22.tmp
%TEMP%\1D.tmp
%TEMP%\1C.tmp
%TEMP%\1F.tmp
%TEMP%\1E.tmp
%TEMP%\12.tmp
%TEMP%\6.tmp
%TEMP%\5.tmp
%TEMP%\8.tmp
%TEMP%\7.tmp
%TEMP%\2.tmp
%TEMP%\1.tmp
%TEMP%\4.tmp
%TEMP%\3.tmp
%TEMP%\9.tmp
%TEMP%\F.tmp
%TEMP%\E.tmp
%TEMP%\11.tmp
%TEMP%\10.tmp
%TEMP%\B.tmp
%TEMP%\A.tmp
%TEMP%\D.tmp
%TEMP%\C.tmp
%TEMP%\24.tmp
%TEMP%\3C.tmp
%TEMP%\3B.tmp
%TEMP%\3E.tmp
%TEMP%\3D.tmp
%TEMP%\38.tmp
%TEMP%\37.tmp
%TEMP%\3A.tmp
%TEMP%\39.tmp
%TEMP%\3F.tmp
%TEMP%\45.tmp
%TEMP%\44.tmp
%TEMP%\47.tmp
%TEMP%\46.tmp
%TEMP%\41.tmp
%TEMP%\40.tmp
%TEMP%\43.tmp
%TEMP%\42.tmp
%TEMP%\36.tmp
%TEMP%\2A.tmp
%TEMP%\29.tmp
%TEMP%\2C.tmp
%TEMP%\2B.tmp
%TEMP%\26.tmp
%TEMP%\25.tmp
%TEMP%\28.tmp
%TEMP%\27.tmp
%TEMP%\2D.tmp
%TEMP%\33.tmp
%TEMP%\32.tmp
%TEMP%\35.tmp
%TEMP%\34.tmp
%TEMP%\2F.tmp
%TEMP%\2E.tmp
%TEMP%\31.tmp
%TEMP%\30.tmp

Сетевая активность:

Подключается к:

'ar#####oaligisassu.eu':80
'ni##an.at':80
're#####r1.opendns.com':53
'we###########ischunterlagen-werbetischsets.de':80
'pi######eyestatesltd.com':80
'mo####usicatania.it':80
'ga####obellorio.it':80

TCP:

Запросы HTTP GET:

http://ar#####oaligisassu.eu/images/photos/sss.bin
http://ni##an.at/jvassets/zarch/x.rar
http://ni##an.at/assets/images/z1RTs99uJzZCW4/XPcJa_2FA3Hq2AKtEucVl/XgqWVPGWl1DG8OdG/udNSPizwc6BaQ85/thCogAvP11PzK02PM6/O1Y_2F7sg/_2F9XoGAs1f55nUMDCk5/Kqsm6N_2FOp7mZIGQop/9rW6L_2Fq_2Bp_2FJv9xyF...
http://we###########ischunterlagen-werbetischsets.de/werbegeschenke/wp-includes/Text/p1.rar
http://pi######eyestatesltd.com/wp-admin/user/font.bin
http://mo####usicatania.it/wp-admin/user/1.bin
http://ga####obellorio.it/CSS/b65849.at

UDP: