Trojan.DownLoader26.34735

Техническая информация

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\nso3.tmp\Statistics.exe' = '%TEMP%\nso3.tmp\Statistics.exe:*:En...

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsj2.tmp
%TEMP%\nso3.tmp\pic\strongbtn.png
%TEMP%\nso3.tmp\pic\onekey.png
%TEMP%\nso3.tmp\pic\shadow_active.png
%TEMP%\nso3.tmp\pic\shadow_deactive.png
%TEMP%\nso3.tmp\pic\slogan.png
%TEMP%\nso3.tmp\pic\logo.png
%TEMP%\nso3.tmp\pic\Minimize.png
%TEMP%\nso3.tmp\pic\bg4.png
%TEMP%\nso3.tmp\ioSpecial.ini
%TEMP%\nso3.tmp\pcmgrdlcore.zip
%APPDATA%\Tencent\QQLive\config.ini
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\ckvcollect[1].htm
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\mon_pro[1].ini
%ALLUSERSPROFILE%\Application Data\mon_pro.ini
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\mon_inst[1].ini
%ALLUSERSPROFILE%\Application Data\mon_inst.ini
%TEMP%\nso3.tmp\pic\express.png
%TEMP%\nso3.tmp\pic\weakbtn.png
%TEMP%\nso3.tmp\pic\full_bg.png
%TEMP%\nso3.tmp\pic\empty_bg.png
%TEMP%\nso3.tmp\pic\custom.png
%APPDATA%\Tencent\QQLive\Log\QQLiveInstall.log
%TEMP%\nso3.tmp\ProcDll.dll
%TEMP%\nso3.tmp\System.dll
%APPDATA%\Tencent\QQLive\user.ini
%TEMP%\nso3.tmp\Statistics.exe
%TEMP%\nso3.tmp\pic\bg1.png
%TEMP%\nso3.tmp\pic\bg2.png
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\ckvcollect[1].htm
%TEMP%\nso3.tmp\modern-wizard.bmp
%TEMP%\nso3.tmp\pic\bg3.png
%TEMP%\nso3.tmp\pic\InstallingBG02.png
%TEMP%\nso3.tmp\pic\InstallingBG03.png
%TEMP%\nso3.tmp\pic\InstallingBG04.png
%TEMP%\nso3.tmp\pic\InstallingBG05.png
%TEMP%\nso3.tmp\pic\browse.png
%TEMP%\nso3.tmp\pic\checkbox.png
%TEMP%\nso3.tmp\pic\close.png
%TEMP%\nso3.tmp\InstallHelper.dll
%TEMP%\nso3.tmp\pic\InstallingBG01.png
%APPDATA%\Tencent\QQLive\FailRecord.dat

Удаляет следующие файлы:

%ALLUSERSPROFILE%\Application Data\mon_pro.ini
%ALLUSERSPROFILE%\Application Data\mon_inst.ini

Сетевая активность:

Подключается к:

'localhost':1036
'localhost':1039
'dl###1.qq.com':80
'bt###e.qq.com':80
'bt###e.qq.com':443

TCP:

Запросы HTTP GET:

http://dl###1.qq.com/qqtv/downloader/pcmgrdlcore.zip?ti#############
http://dl###1.qq.com/qqtv/appdata/config.ini?ti#############
http://dl###1.qq.com/qqtv/azdk/mon_pro.ini
http://dl###1.qq.com/qqtv/azdk/mon_inst.ini

Запросы HTTP POST:

http://bt###e.qq.com/ckvcollect

UDP:

DNS ASK dl###1.qq.com
DNS ASK bt###e.qq.com

Другое:

Ищет следующие окна:

ClassName: '#32770' WindowName: ''

Создает и запускает на исполнение:

'%TEMP%\nso3.tmp\Statistics.exe' BossId=2800&Pwd=1456476441&iSta=2567&ctype=1&itype=11&ver=10.7.1441.0&str1=CB24A8ACD4F5EA2C503C1DC1F2D2077E&str2=shunwanghz&vid=AngarCl.exe&url=<Имя файла>.exe&int6=1&protocolver=50180213&guid2...
'%TEMP%\nso3.tmp\Statistics.exe' -ReportNew "-Step:1 -Result:1 -ModuleName:<Имя файла>.exe -ModuleVer:10.7.1441.0 -ChannelName:shunwanghz -InstallDir:\"%ProgramFiles%\Tencent\QQLive\" -ParentProcessName:AngarCl.exe -NewInstall...
'%TEMP%\nso3.tmp\Statistics.exe' -ReportAntiCheat "-ChannelName:shunwanghz -Version:10.7.1441.0 -ProtocolVersion:50180213"
'%TEMP%\nso3.tmp\Statistics.exe' BossId=5069&Pwd=1319681759&first=install&second=&third=&forth=&cmd=exposure&platform=10204&main_login=&uin=&openid=&vuserid=&version=50180213&guid={CB24A8ACD4F5EA2C503C1DC1F2D2077E}&exposureCom...