Trojan.DownLoader26.38181

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dass' = '"%ProgramFiles%\Ilene\nussle.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'selway' = '"%ProgramFiles%\Ilene\nussle.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dassselway' = '"%ProgramFiles%\bernardus\dislodging.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'selwaydass' = '"%ProgramFiles%\bernardus\dislodging.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dassdass' = '"%ProgramFiles%\Berenguer\nussle.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'selwayselway' = '"%ProgramFiles%\Berenguer\nussle.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'offshore' = '"%ProgramFiles%\Ilene\nussle.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'richburg' = '"%ProgramFiles%\Ilene\nussle.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'offshorerichburg' = '"%ProgramFiles%\bernardus\dislodging.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'richburgoffshore' = '"%ProgramFiles%\bernardus\dislodging.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'offshoreoffshore' = '"%ProgramFiles%\Berenguer\nussle.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'richburgrichburg' = '"%ProgramFiles%\Berenguer\nussle.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ratified' = '"%ProgramFiles%\deputy\ratified.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'transurethral' = '"%ProgramFiles%\Ilene\nussle.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\sesquicentennial.lnk
%HOMEPATH%\Start Menu\Programs\Startup\sesquicentennialsesquicentennial.lnk

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /im chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsa2.tmp\19645.exe
%TEMP%\nseC.tmp\nsExec.dll
%TEMP%\nscB.tmp\ShellLink.dll
%WINDIR%\inet.exe
%ProgramFiles%\deputy\ratified.exe
%TEMP%\nsl7.tmp\AccessControl.dll
%ProgramFiles%\ostinato\ostinato.exe
%ProgramFiles%\Berenguer\dislodging.exe
%TEMP%\nsi5.tmp\SimpleFC.dll
%ProgramFiles%\Berenguer\nussle.exe
<LS_APPDATA>\dislodging.exe
<LS_APPDATA>\nussle.exe
%TEMP%\nseC.tmp\nsD.tmp
%ProgramFiles%\bernardus\dislodging.exe
%ProgramFiles%\bernardus\bernardus.exe
%ProgramFiles%\Ilene\nussle.exe
%ProgramFiles%\Ilene\nussle.dll
%ProgramFiles%\Ilene\Ilene.exe
%TEMP%\nsa2.tmp\112988.exe
%TEMP%\nsa2.tmp\Microsoft.Win32.TaskScheduler.dll
%TEMP%\nsa2.tmp\NMincomprehensibly.exe
%TEMP%\nsa2.tmp\134724.exe
%TEMP%\nsa2.tmp\109318.exe
%TEMP%\nsa2.tmp\62045.exe
%TEMP%\nsa2.tmp\36048.exe
%ProgramFiles%\bernardus\dislodging.dll
<LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT

Удаляет следующие файлы:

%TEMP%\nsi5.tmp\SimpleFC.dll
%TEMP%\nsl7.tmp\AccessControl.dll
%TEMP%\nscB.tmp\ShellLink.dll

Сетевая активность:

Подключается к:

'localhost':1037
'localhost':1039
'localhost':1040
'localhost':1043

UDP:

DNS ASK www.tr####hantvacant.pw

Другое:

Ищет следующие окна:

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'Chrome_WidgetWin_0' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение:

'%TEMP%\nsa2.tmp\NMincomprehensibly.exe' "%ProgramFiles%\Ilene\nussle.exe" "sibs"
'%TEMP%\nsa2.tmp\62045.exe'
'%ProgramFiles%\deputy\ratified.exe'
'%TEMP%\nsa2.tmp\112988.exe'
'%TEMP%\nsa2.tmp\NMincomprehensibly.exe' "%ProgramFiles%\ostinato\ostinato.exe" "agents"
'%TEMP%\nsa2.tmp\NMincomprehensibly.exe' "%ProgramFiles%\Berenguer\dislodging.exe" "estabrook stefanie"
'%TEMP%\nsa2.tmp\NMincomprehensibly.exe' "%ProgramFiles%\Berenguer\nussle.exe" "admiringly_hatred"
'%TEMP%\nsa2.tmp\109318.exe'
'%ProgramFiles%\Berenguer\dislodging.exe'
'%TEMP%\nsa2.tmp\NMincomprehensibly.exe' "<LS_APPDATA>\dislodging.exe" "appleman_guarani"
'%TEMP%\nsa2.tmp\NMincomprehensibly.exe' "<LS_APPDATA>\nussle.exe" "offspring observatory thyme"
'%TEMP%\nsa2.tmp\36048.exe'
'%ProgramFiles%\Ilene\nussle.exe'
'%TEMP%\nsa2.tmp\134724.exe'
'%TEMP%\nsa2.tmp\NMincomprehensibly.exe' "%ProgramFiles%\bernardus\dislodging.exe" "items-affirms"
'%ProgramFiles%\Berenguer\nussle.exe'
'%TEMP%\nseC.tmp\nsD.tmp' taskkill /im chrome.exe