Trojan.DownLoader26.26586

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\AdobeFlashPlayerControlSvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AdobeFlashPlayerControlSvc] 'ImagePath' = 'C:\ProgramData\GS_Svc.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\AdobeFlashPlayerHash] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AdobeFlashPlayerHash] 'ImagePath' = '%WINDIR%\parameters\hostdll.exe'

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе:

Создает следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

UDP:

Другое:

Ищет следующие окна:

Создает и запускает на исполнение:

'C:\ProgramData\Microsoft\Windows\Rundll\7z.exe' e C:\ProgramData\Microsoft\Windows\Rundll\Rundll.7z -y -oC:\ProgramData\Microsoft\Windows\Rundll
'<SYSTEM32>\SMSvHost.exe' install clr_optimization_v4.0.18957_x64 "C:\ProgramData\Microsoft\Windows\Rundll\Rundll.exe
'%WINDIR%\parameters\hostdll.exe'
'C:\ProgramData\GS_Svc.exe'

Запускает на исполнение:

'<SYSTEM32>\sc.exe' delete clr_optimization_v4.0.18957_x64
'<SYSTEM32>\sc.exe' stop windefend
'<SYSTEM32>\net1.exe' start AdobeFlashPlayerControlSvc
'<SYSTEM32>\sc.exe' stop clr_optimization_v4.0.18957_x64
'<SYSTEM32>\sc.exe' delete windefend
'<SYSTEM32>\sc.exe' config clr_optimization_v4.0.18957_x64 DisplayName= "Microsoft .NET Framework NGEN v4.0.18957_x64"
'<SYSTEM32>\sc.exe' start clr_optimization_v4.0.18957_x64
'<SYSTEM32>\cmd.exe' /k C:\ProgramData\Microsoft\Windows\Rundll\7z.exe e C:\ProgramData\Microsoft\Windows\Rundll\Rundll.7z -y -oC:\ProgramData\Microsoft\Windows\Rundll
'<SYSTEM32>\sc.exe' description clr_optimization_v4.0.18957_x64 "Microsoft .NET Framework NGEN"
'<SYSTEM32>\sc.exe' create AdobeFlashPlayerHash binpath= %WINDIR%\parameters\hostdll.exe start= auto
'<SYSTEM32>\net.exe' start AdobeFlashPlayerHash
'<SYSTEM32>\sc.exe' delete AdobeFlashPlayerHash
'<SYSTEM32>\net1.exe' stop AdobeFlashPlayerHash
'<SYSTEM32>\net1.exe' start AdobeFlashPlayerHash
'<SYSTEM32>\sc.exe' create AdobeFlashPlayerControlSvc binpath= C:\ProgramData\GS_Svc.exe start= auto
'<SYSTEM32>\net.exe' start AdobeFlashPlayerControlSvc
'<SYSTEM32>\sc.exe' delete AdobeFlashPlayerControlSvc
'<SYSTEM32>\net1.exe' stop AdobeFlashPlayerControlSvc