Trojan.DownLoader26.4498

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'barriesandel' = '"%ProgramFiles%\hoppe\caswell.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sandelbarrie' = '"%ProgramFiles%\hoppe\caswell.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'barrie' = '"%ProgramFiles%\Disclosure\oversteer.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sandelsandel' = '"%ProgramFiles%\Derma\oversteer.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'hobbyists' = '"%ProgramFiles%\Disclosure\oversteer.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'cracker' = '"%ProgramFiles%\shu\cracker.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'barriebarrie' = '"%ProgramFiles%\Derma\oversteer.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'eruditionenthralled' = '"%ProgramFiles%\hoppe\caswell.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'enthralled' = '"%ProgramFiles%\Disclosure\oversteer.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'erudition' = '"%ProgramFiles%\Disclosure\oversteer.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'enthrallederudition' = '"%ProgramFiles%\hoppe\caswell.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sandel' = '"%ProgramFiles%\Disclosure\oversteer.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'enthralledenthralled' = '"%ProgramFiles%\Derma\oversteer.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'eruditionerudition' = '"%ProgramFiles%\Derma\oversteer.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\identifiesidentifies.lnk
%HOMEPATH%\Start Menu\Programs\Startup\identifies.lnk

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /im chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

%ProgramFiles%\arbitrage\arbitrage.exe
%ProgramFiles%\shu\cracker.exe
%TEMP%\nsj7.tmp\AccessControl.dll
%TEMP%\nsv5.tmp\SimpleFC.dll
<LS_APPDATA>\caswell.exe
%ProgramFiles%\Derma\oversteer.exe
%ProgramFiles%\Derma\caswell.exe
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\bXGHTY2Xfcdh0Xfcdh1Xfcdh71pitZmw22bXGHTY1Xfcdh[1].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\2-bXGHTY2Xfcdh0Xfcdh1Xfcdh71pitZmw22bXGHTY1Xfcdh[1].html
<LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT
%TEMP%\nsaC.tmp\nsD.tmp
%WINDIR%\idolatrous.exe
%TEMP%\nskB.tmp\ShellLink.dll
%TEMP%\nsaC.tmp\nsExec.dll
<LS_APPDATA>\oversteer.exe
%TEMP%\nsg2.tmp\127439.exe
%TEMP%\nsg2.tmp\NMreadership.exe
%TEMP%\nsg2.tmp\Microsoft.Win32.TaskScheduler.dll
%TEMP%\nsg2.tmp\106537.exe
%TEMP%\nsg2.tmp\16811.exe
%TEMP%\nsg2.tmp\32928.exe
%TEMP%\nsg2.tmp\66319.exe
%ProgramFiles%\hoppe\hoppe.exe
%ProgramFiles%\hoppe\caswell.dll
%ProgramFiles%\hoppe\caswell.exe
%ProgramFiles%\Disclosure\oversteer.exe
%TEMP%\nsg2.tmp\115090.exe
%ProgramFiles%\Disclosure\Disclosure.exe
%ProgramFiles%\Disclosure\oversteer.dll

Удаляет следующие файлы:

%TEMP%\nskB.tmp\ShellLink.dll
%TEMP%\nsj7.tmp\AccessControl.dll
%TEMP%\nsv5.tmp\SimpleFC.dll

Сетевая активность:

Подключается к:

'mo######zationnoteworthy.pw':80
'localhost':1046
'localhost':1042
'localhost':1038
'localhost':1039

TCP:

Запросы HTTP GET:

http://www.mo######zationnoteworthy.pw/2-bXGHTY2Xfcdh0Xfcdh1Xfcdh71pitZmw22bXGHTY1Xfcdh.html?bl######################################## via mo######zationnoteworthy.pw
http://www.mo######zationnoteworthy.pw/bXGHTY2Xfcdh0Xfcdh1Xfcdh71pitZmw22bXGHTY1Xfcdh.html?ac########################################## via mo######zationnoteworthy.pw

UDP:

DNS ASK ww##.#####olizationnoteworthy.pw
DNS ASK www.mo######zationnoteworthy.pw

Другое:

Ищет следующие окна:

ClassName: 'Chrome_WidgetWin_0' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''

Создает и запускает на исполнение:

'%TEMP%\nsg2.tmp\NMreadership.exe' "%ProgramFiles%\arbitrage\arbitrage.exe" "k41687012"
'%TEMP%\nsg2.tmp\115090.exe'
'%TEMP%\nsg2.tmp\NMreadership.exe' "%ProgramFiles%\Derma\oversteer.exe" "41687012"
'%TEMP%\nsg2.tmp\NMreadership.exe' "%ProgramFiles%\Derma\caswell.exe" "4168701241687012"
'%TEMP%\nsg2.tmp\106537.exe'
'%TEMP%\nsaC.tmp\nsD.tmp' taskkill /im chrome.exe
'%ProgramFiles%\shu\cracker.exe'
'%TEMP%\nsg2.tmp\66319.exe'
'%ProgramFiles%\Derma\caswell.exe'
'%TEMP%\nsg2.tmp\127439.exe'
'%ProgramFiles%\Disclosure\oversteer.exe'
'%TEMP%\nsg2.tmp\NMreadership.exe' "%ProgramFiles%\Disclosure\oversteer.exe" "13012155"
'%TEMP%\nsg2.tmp\NMreadership.exe' "%ProgramFiles%\hoppe\caswell.exe" "1301215513012155"
'%TEMP%\nsg2.tmp\NMreadership.exe' "<LS_APPDATA>\caswell.exe" "4977669249776692"
'%ProgramFiles%\Derma\oversteer.exe'
'%TEMP%\nsg2.tmp\32928.exe'
'%TEMP%\nsg2.tmp\NMreadership.exe' "<LS_APPDATA>\oversteer.exe" "49776692"