Trojan.DownLoader26.27377

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\BurnAwareOpen\shell\open\command] '' = '"%ProgramFiles%\BurnAware Premium\burnaware.exe"'
[<HKLM>\SOFTWARE\Classes\iso-file\Shell\Open\Command] '' = '"%ProgramFiles%\BurnAware Premium\unpackiso.exe" "%1"'

Вредоносные функции:

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\cmd.exe

Изменения в файловой системе:

Создает следующие файлы:

%ProgramFiles%\BurnAware Premium\is-0FGPD.tmp
%ProgramFiles%\BurnAware Premium\is-4AQ70.tmp
%ProgramFiles%\BurnAware Premium\is-5JCNL.tmp
%ProgramFiles%\BurnAware Premium\is-PIJV0.tmp
%ProgramFiles%\BurnAware Premium\is-AENQ5.tmp
%ProgramFiles%\BurnAware Premium\is-O13QK.tmp
%ProgramFiles%\BurnAware Premium\is-O47GS.tmp
%ProgramFiles%\BurnAware Premium\is-UFMCJ.tmp
%ProgramFiles%\BurnAware Premium\is-AJOCC.tmp
%ProgramFiles%\BurnAware Premium\is-ROKCM.tmp
%ProgramFiles%\BurnAware Premium\is-OE0GC.tmp
%ALLUSERSPROFILE%\Desktop\BurnAware Premium.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\BurnAware Premium\Uninstall BurnAware Premium.lnk
%ProgramFiles%\BurnAware Premium\unins000.dat
%TEMP%\45DAD.dmp
%TEMP%\dw.log
%ProgramFiles%\BurnAware Premium\is-HFD71.tmp
%ProgramFiles%\BurnAware Premium\is-0065K.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\BurnAware Premium\BurnAware Premium.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\BurnAware Premium\BurnAware Premium on the Web.url
%ALLUSERSPROFILE%\Start Menu\Programs\BurnAware Premium\Help.lnk
%ProgramFiles%\BurnAware Premium\is-070F0.tmp
%ProgramFiles%\BurnAware Premium\is-SJVN9.tmp
%ProgramFiles%\BurnAware Premium\is-TSBLS.tmp
%ProgramFiles%\BurnAware Premium\is-3CTEJ.tmp
%ProgramFiles%\BurnAware Premium\is-2MK80.tmp
%ProgramFiles%\BurnAware Premium\is-KFPKF.tmp
%TEMP%\dzphp4278.exe
%TEMP%\aut1.tmp
%TEMP%\aut2.tmp
%TEMP%\is-MAICI.tmp\dzphp4278.tmp
%TEMP%\update.exe
%ProgramFiles%\BurnAware Premium\is-DH5OU.tmp
%ProgramFiles%\BurnAware Premium\is-4IECQ.tmp
%ProgramFiles%\BurnAware Premium\is-T2FQK.tmp
%ProgramFiles%\BurnAware Premium\is-QQ0F0.tmp
%ProgramFiles%\BurnAware Premium\is-UD9V8.tmp
%ProgramFiles%\BurnAware Premium\is-I60U5.tmp
%ProgramFiles%\BurnAware Premium\is-4V1RU.tmp
%ProgramFiles%\BurnAware Premium\is-673PT.tmp
%ProgramFiles%\BurnAware Premium\is-8F7OD.tmp
%ProgramFiles%\BurnAware Premium\is-FRGPR.tmp
%ProgramFiles%\BurnAware Premium\is-GKR1U.tmp

Удаляет следующие файлы:

%TEMP%\is-MAICI.tmp\dzphp4278.tmp
%TEMP%\aut2.tmp
%TEMP%\aut1.tmp

Перемещает следующие файлы:

%ProgramFiles%\BurnAware Premium\is-UFMCJ.tmp в %ProgramFiles%\BurnAware Premium\bamedenclib.dll
%ProgramFiles%\BurnAware Premium\is-ROKCM.tmp в %ProgramFiles%\BurnAware Premium\baplayer.dll
%ProgramFiles%\BurnAware Premium\is-AJOCC.tmp в %ProgramFiles%\BurnAware Premium\bass.dll
%ProgramFiles%\BurnAware Premium\is-O13QK.tmp в %ProgramFiles%\BurnAware Premium\bamainlib.dll
%ProgramFiles%\BurnAware Premium\is-UD9V8.tmp в %ProgramFiles%\BurnAware Premium\UnpackISO.exe
%ProgramFiles%\BurnAware Premium\is-070F0.tmp в %ProgramFiles%\BurnAware Premium\burnaware.chm
%ProgramFiles%\BurnAware Premium\is-O47GS.tmp в %ProgramFiles%\BurnAware Premium\badecx.dll
%ProgramFiles%\BurnAware Premium\is-4AQ70.tmp в %ProgramFiles%\BurnAware Premium\bassenc.dll
%ProgramFiles%\BurnAware Premium\is-OE0GC.tmp в %ProgramFiles%\BurnAware Premium\Dos622.img
%ProgramFiles%\BurnAware Premium\is-0065K.tmp в %ProgramFiles%\BurnAware Premium\ba11premium.dll
%ProgramFiles%\BurnAware Premium\is-HFD71.tmp в %ProgramFiles%\BurnAware Premium\isofile.ico
%ProgramFiles%\BurnAware Premium\is-PIJV0.tmp в %ProgramFiles%\BurnAware Premium\bawmalib.dll
%ProgramFiles%\BurnAware Premium\is-0FGPD.tmp в %ProgramFiles%\BurnAware Premium\bassflac.dll
%ProgramFiles%\BurnAware Premium\is-5JCNL.tmp в %ProgramFiles%\BurnAware Premium\basswma.dll
%ProgramFiles%\BurnAware Premium\is-AENQ5.tmp в %ProgramFiles%\BurnAware Premium\tags.dll
%ProgramFiles%\BurnAware Premium\is-2MK80.tmp в %ProgramFiles%\BurnAware Premium\MediaDisc.exe
%ProgramFiles%\BurnAware Premium\is-DH5OU.tmp в %ProgramFiles%\BurnAware Premium\DataDisc.exe
%ProgramFiles%\BurnAware Premium\is-673PT.tmp в %ProgramFiles%\BurnAware Premium\DiscInfo.exe
%ProgramFiles%\BurnAware Premium\is-KFPKF.tmp в %ProgramFiles%\BurnAware Premium\BurnImage.exe
%ProgramFiles%\BurnAware Premium\is-TSBLS.tmp в %ProgramFiles%\BurnAware Premium\unins000.exe
%ProgramFiles%\BurnAware Premium\is-SJVN9.tmp в %ProgramFiles%\BurnAware Premium\SpanDisc.exe
%ProgramFiles%\BurnAware Premium\is-3CTEJ.tmp в %ProgramFiles%\BurnAware Premium\AudioCD.exe
%ProgramFiles%\BurnAware Premium\is-4V1RU.tmp в %ProgramFiles%\BurnAware Premium\EraseDisc.exe
%ProgramFiles%\BurnAware Premium\is-4IECQ.tmp в %ProgramFiles%\BurnAware Premium\VerifyDisc.exe
%ProgramFiles%\BurnAware Premium\is-QQ0F0.tmp в %ProgramFiles%\BurnAware Premium\AudioGrabber.exe
%ProgramFiles%\BurnAware Premium\is-I60U5.tmp в %ProgramFiles%\BurnAware Premium\BurnAware.exe
%ProgramFiles%\BurnAware Premium\is-T2FQK.tmp в %ProgramFiles%\BurnAware Premium\DataRecovery.exe
%ProgramFiles%\BurnAware Premium\is-8F7OD.tmp в %ProgramFiles%\BurnAware Premium\CopyImage.exe
%ProgramFiles%\BurnAware Premium\is-GKR1U.tmp в %ProgramFiles%\BurnAware Premium\MakeISO.exe
%ProgramFiles%\BurnAware Premium\is-FRGPR.tmp в %ProgramFiles%\BurnAware Premium\CopyDisc.exe

Сетевая активность:

Подключается к:

'bu###ware.com':80
'localhost':1040
'ip###ger.com':443

TCP:

Запросы HTTP GET:

http://www.bu###ware.com/after-install.html via bu###ware.com

UDP:

DNS ASK www.bu###ware.com
DNS ASK ip###ger.com

Другое:

Ищет следующие окна:

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'IEFrame' WindowName: ''

Создает и запускает на исполнение:

'%TEMP%\is-MAICI.tmp\dzphp4278.tmp' /SL5="$100E4,7405673,189952,%TEMP%\dzphp4278.exe" /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'%TEMP%\update.exe'
'%TEMP%\dzphp4278.exe' /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-

Запускает на исполнение:

'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -nohome
'%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1384
'<SYSTEM32>\cmd.exe' /c %TEMP%\dzphp4278.exe /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
'<SYSTEM32>\cmd.exe' /c %TEMP%\update.exe