Trojan.DownLoader26.13976

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bisexualpoppin' = '"%ProgramFiles%\accompany\putnam.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'poppinbisexual' = '"%ProgramFiles%\accompany\putnam.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bisexual' = '"%ProgramFiles%\Beverley\sympathize.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'poppinpoppin' = '"%ProgramFiles%\Guardhouse\sympathize.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'myrmidons' = '"%ProgramFiles%\Beverley\sympathize.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'humored' = '"%ProgramFiles%\pemberton\humored.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bisexualbisexual' = '"%ProgramFiles%\Guardhouse\sympathize.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'yuppiesstickman' = '"%ProgramFiles%\accompany\putnam.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stickman' = '"%ProgramFiles%\Beverley\sympathize.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'yuppies' = '"%ProgramFiles%\Beverley\sympathize.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stickmanyuppies' = '"%ProgramFiles%\accompany\putnam.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'poppin' = '"%ProgramFiles%\Beverley\sympathize.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stickmanstickman' = '"%ProgramFiles%\Guardhouse\sympathize.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'yuppiesyuppies' = '"%ProgramFiles%\Guardhouse\sympathize.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\innocenceinnocence.lnk
%HOMEPATH%\Start Menu\Programs\Startup\innocence.lnk

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /im chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsn5.tmp\SimpleFC.dll
%ProgramFiles%\vegas\vegas.exe
%ProgramFiles%\pemberton\humored.exe
%ProgramFiles%\Guardhouse\putnam.exe
<LS_APPDATA>\sympathize.exe
<LS_APPDATA>\putnam.exe
%ProgramFiles%\Guardhouse\sympathize.exe
%TEMP%\nsgD.tmp\ShellLink.dll
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\cz20Uagx18Uagx01i30czUagx[1].html
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\2-cz20Uagx18Uagx01i30czUagx[1].html
%TEMP%\nscA.tmp\nsC.tmp
%WINDIR%\continents.exe
%TEMP%\nsh7.tmp\AccessControl.dll
%TEMP%\nscA.tmp\nsExec.dll
%TEMP%\nsn2.tmp\139502.exe
%TEMP%\nsn2.tmp\NMbyfield.exe
%TEMP%\nsn2.tmp\Microsoft.Win32.TaskScheduler.dll
%TEMP%\nsn2.tmp\101782.exe
%TEMP%\nsn2.tmp\10890.exe
%TEMP%\nsn2.tmp\36508.exe
%TEMP%\nsn2.tmp\54599.exe
%ProgramFiles%\accompany\accompany.exe
%ProgramFiles%\accompany\putnam.dll
%ProgramFiles%\accompany\putnam.exe
%ProgramFiles%\Beverley\sympathize.exe
%TEMP%\nsn2.tmp\116246.exe
%ProgramFiles%\Beverley\Beverley.exe
%ProgramFiles%\Beverley\sympathize.dll

Удаляет следующие файлы:

%TEMP%\nsgD.tmp\ShellLink.dll
%TEMP%\nsh7.tmp\AccessControl.dll
%TEMP%\nsn5.tmp\SimpleFC.dll

Сетевая активность:

Подключается к:

'sp#####etearchivist.pw':80
'localhost':1046
'localhost':1040
'localhost':1038
'localhost':1039

TCP:

Запросы HTTP GET:

http://www.sp#####etearchivist.pw/2-cz20Uagx18Uagx01i30czUagx.html?ko############################################# via sp#####etearchivist.pw
http://www.sp#####etearchivist.pw/cz20Uagx18Uagx01i30czUagx.html?tu########################################### via sp#####etearchivist.pw

UDP:

DNS ASK www.sp#####etearchivist.pw

Другое:

Ищет следующие окна:

ClassName: 'Chrome_WidgetWin_0' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''

Создает и запускает на исполнение:

'%TEMP%\nsn2.tmp\NMbyfield.exe' "%ProgramFiles%\vegas\vegas.exe" "k30393851"
'%TEMP%\nsn2.tmp\116246.exe'
'%TEMP%\nsn2.tmp\NMbyfield.exe' "%ProgramFiles%\Guardhouse\sympathize.exe" "30393851"
'%TEMP%\nsn2.tmp\NMbyfield.exe' "%ProgramFiles%\Guardhouse\putnam.exe" "3039385130393851"
'%TEMP%\nsn2.tmp\101782.exe'
'%TEMP%\nscA.tmp\nsC.tmp' taskkill /im chrome.exe
'%ProgramFiles%\pemberton\humored.exe'
'%TEMP%\nsn2.tmp\54599.exe'
'%ProgramFiles%\Guardhouse\putnam.exe'
'%TEMP%\nsn2.tmp\139502.exe'
'%ProgramFiles%\Beverley\sympathize.exe'
'%TEMP%\nsn2.tmp\NMbyfield.exe' "%ProgramFiles%\Beverley\sympathize.exe" "85212623"
'%TEMP%\nsn2.tmp\NMbyfield.exe' "%ProgramFiles%\accompany\putnam.exe" "8521262385212623"
'%TEMP%\nsn2.tmp\NMbyfield.exe' "<LS_APPDATA>\putnam.exe" "7430102474301024"
'%ProgramFiles%\Guardhouse\sympathize.exe'
'%TEMP%\nsn2.tmp\36508.exe'
'%TEMP%\nsn2.tmp\NMbyfield.exe' "<LS_APPDATA>\sympathize.exe" "74301024"