Trojan.DownLoader26.41694

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'SkypeC0SvcService.exe' = '"%APPDATA%\LocalDataNT\SkypeC0SvcService.exe" r'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\Service Manager.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\Service Manager.lnk

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\usbhubsvc4] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\usbhubsvc4] 'ImagePath' = '<SYSTEM32>\svchost.exe -k "MsHubSvc4" -svcr "SkypeC0SvcService.exe"'
[<HKLM>\SYSTEM\ControlSet001\Services\usbhubsvc4\Parameters] 'ServiceDLL' = '%APPDATA%\LocalDataNT\msimg32.dll'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\NS-1BEC4.tmp\NS-SRPJ1.tmp
%TEMP%\Cab2D.tmp
%TEMP%\Cab2B.tmp
%TEMP%\Cab29.tmp
%TEMP%\Cab27.tmp
%TEMP%\Cab25.tmp
%TEMP%\Cab23.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab1D.tmp
%TEMP%\Cab1B.tmp
%TEMP%\Cab19.tmp
%TEMP%\Cab17.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab11.tmp
%TEMP%\CabD.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab2F.tmp
%TEMP%\Cab31.tmp
%TEMP%\Cab51.tmp
%TEMP%\Cab4F.tmp
%TEMP%\Cab4D.tmp
%TEMP%\Cab4B.tmp
%TEMP%\Cab49.tmp
%TEMP%\Cab47.tmp
%TEMP%\Cab45.tmp
%TEMP%\Cab41.tmp
%APPDATA%\LocalDataNT\tv_x64.exe
%TEMP%\Cab3F.tmp
%TEMP%\Cab3D.tmp
%TEMP%\Cab3B.tmp
%TEMP%\Cab39.tmp
%TEMP%\Cab37.tmp
%TEMP%\Cab35.tmp
%TEMP%\Cab33.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab9.tmp
%TEMP%\Cab7.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-DNQS0.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-JTC60.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-IJRV2.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-H3J64.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-IGOV0.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-15IB7.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-OE12A.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-680G6.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-720KQ.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-6KV46.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-LANPG.tmp
%TEMP%\NS-34NCM.tmp\UPD\NS-JGBKK.tmp
%TEMP%\NS-34NCM.tmp\_iscrypt.dll
%TEMP%\NS-34NCM.tmp\_shfoldr.dll
%TEMP%\NS-34NCM.tmp\UPD\NS-HUFIH.tmp
%APPDATA%\LocalDataNT\msimg32.dll
%TEMP%\NS-34NCM.tmp\UPD\NS-KE0A7.tmp
%APPDATA%\LocalDataNT\pp2.pdf
%TEMP%\Cab5.tmp
%APPDATA%\LocalDataNT\SkypeC0SvcService.exe
%TEMP%\Cab3.tmp
%TEMP%\Cab1.tmp
%APPDATA%\LocalDataNT\tv.ini
%APPDATA%\LocalDataNT\TeamViewer.ini
%APPDATA%\LocalDataNT\vpn86.cab
%APPDATA%\LocalDataNT\vpn64.cab
%TEMP%\Cab43.tmp
%TEMP%\Cab53.tmp
%APPDATA%\LocalDataNT\tv_x64.dll
%APPDATA%\LocalDataNT\tv_w32.exe
%APPDATA%\LocalDataNT\tv_w32.dll
%APPDATA%\LocalDataNT\tvr.cfg
%APPDATA%\LocalDataNT\TeamViewer_StaticRes.dll
%APPDATA%\LocalDataNT\TeamViewer_Resource_en.dll
%APPDATA%\LocalDataNT\TeamViewer_Desktop.exe
%APPDATA%\LocalDataNT\updatecache.bat
%TEMP%\Cab55.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\LocalDataNT\TeamViewer_StaticRes.dll
%APPDATA%\LocalDataNT\TeamViewer_Resource_en.dll
%APPDATA%\LocalDataNT\TeamViewer_Desktop.exe
%APPDATA%\LocalDataNT\tv_w32.exe
%APPDATA%\LocalDataNT\tv_x64.exe
%APPDATA%\LocalDataNT\tv_w32.dll
%APPDATA%\LocalDataNT\tv_x64.dll
%APPDATA%\LocalDataNT\vpn86.cab
%APPDATA%\LocalDataNT\vpn64.cab
%APPDATA%\LocalDataNT\TeamViewer.ini
%APPDATA%\LocalDataNT\tv.ini
%APPDATA%\LocalDataNT\msimg32.dll
%APPDATA%\LocalDataNT\tvr.cfg
%APPDATA%\LocalDataNT\SkypeC0SvcService.exe

Удаляет следующие файлы:

%TEMP%\Cab1.tmp
%TEMP%\Cab23.tmp
%TEMP%\Cab25.tmp
%TEMP%\Cab27.tmp
%TEMP%\Cab29.tmp
%TEMP%\Cab2B.tmp
%TEMP%\Cab2D.tmp
%TEMP%\Cab2F.tmp
%TEMP%\Cab31.tmp
%TEMP%\Cab33.tmp
%TEMP%\Cab35.tmp
%TEMP%\Cab37.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab39.tmp
%TEMP%\Cab3F.tmp
%TEMP%\Cab41.tmp
%TEMP%\Cab43.tmp
%TEMP%\Cab45.tmp
%TEMP%\Cab47.tmp
%TEMP%\NS-1BEC4.tmp\NS-SRPJ1.tmp
%TEMP%\Cab49.tmp
%TEMP%\Cab4B.tmp
%TEMP%\Cab4D.tmp
%TEMP%\Cab4F.tmp
%TEMP%\Cab51.tmp
%TEMP%\Cab3B.tmp
%TEMP%\Cab3D.tmp
%TEMP%\Cab1D.tmp
%TEMP%\NS-34NCM.tmp\_shfoldr.dll
%TEMP%\NS-34NCM.tmp\_iscrypt.dll
%TEMP%\Cab5.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\CabD.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab17.tmp
%TEMP%\Cab19.tmp
%TEMP%\Cab1B.tmp
%TEMP%\Cab3.tmp
%TEMP%\NS-34NCM.tmp\UPD\msimg32.dll
%TEMP%\NS-34NCM.tmp\UPD\SkypeC0SvcService.exe
%TEMP%\NS-34NCM.tmp\UPD\TeamViewer_Desktop.exe
%TEMP%\NS-34NCM.tmp\UPD\TeamViewer_Resource_en.dll
%TEMP%\NS-34NCM.tmp\UPD\TeamViewer_StaticRes.dll
%TEMP%\NS-34NCM.tmp\UPD\tvr.cfg
%TEMP%\NS-34NCM.tmp\UPD\tv_w32.dll
%TEMP%\NS-34NCM.tmp\UPD\tv_w32.exe
%TEMP%\NS-34NCM.tmp\UPD\tv_x64.dll
%TEMP%\NS-34NCM.tmp\UPD\tv_x64.exe
%TEMP%\NS-34NCM.tmp\UPD\updatecache.bat
%TEMP%\NS-34NCM.tmp\UPD\vpn64.cab
%TEMP%\NS-34NCM.tmp\UPD\vpn86.cab
%TEMP%\NS-34NCM.tmp\UPD\pp2.pdf
%TEMP%\Cab53.tmp
%TEMP%\Cab55.tmp

Перемещает следующие файлы:

%TEMP%\NS-34NCM.tmp\UPD\NS-JGBKK.tmp в %TEMP%\NS-34NCM.tmp\UPD\msimg32.dll
%TEMP%\NS-34NCM.tmp\UPD\NS-LANPG.tmp в %TEMP%\NS-34NCM.tmp\UPD\SkypeC0SvcService.exe
%TEMP%\NS-34NCM.tmp\UPD\NS-6KV46.tmp в %TEMP%\NS-34NCM.tmp\UPD\TeamViewer_Desktop.exe
%TEMP%\NS-34NCM.tmp\UPD\NS-720KQ.tmp в %TEMP%\NS-34NCM.tmp\UPD\TeamViewer_Resource_en.dll
%TEMP%\NS-34NCM.tmp\UPD\NS-680G6.tmp в %TEMP%\NS-34NCM.tmp\UPD\TeamViewer_StaticRes.dll
%TEMP%\NS-34NCM.tmp\UPD\NS-OE12A.tmp в %TEMP%\NS-34NCM.tmp\UPD\tvr.cfg
%TEMP%\NS-34NCM.tmp\UPD\NS-15IB7.tmp в %TEMP%\NS-34NCM.tmp\UPD\tv_w32.dll
%TEMP%\NS-34NCM.tmp\UPD\NS-IGOV0.tmp в %TEMP%\NS-34NCM.tmp\UPD\tv_w32.exe
%TEMP%\NS-34NCM.tmp\UPD\NS-H3J64.tmp в %TEMP%\NS-34NCM.tmp\UPD\tv_x64.dll
%TEMP%\NS-34NCM.tmp\UPD\NS-IJRV2.tmp в %TEMP%\NS-34NCM.tmp\UPD\tv_x64.exe
%TEMP%\NS-34NCM.tmp\UPD\NS-JTC60.tmp в %TEMP%\NS-34NCM.tmp\UPD\updatecache.bat
%TEMP%\NS-34NCM.tmp\UPD\NS-DNQS0.tmp в %TEMP%\NS-34NCM.tmp\UPD\vpn64.cab
%TEMP%\NS-34NCM.tmp\UPD\NS-KE0A7.tmp в %TEMP%\NS-34NCM.tmp\UPD\vpn86.cab
%TEMP%\NS-34NCM.tmp\UPD\NS-HUFIH.tmp в %TEMP%\NS-34NCM.tmp\UPD\pp2.pdf

Сетевая активность:

Подключается к:

'wp#d':80
'download.windowsupdate.com':80
'pi###.#eamviewer.com':5938
'pi###.#eamviewer.com':443
'pi###.#eamviewer.com':80
'ma#####.teamviewer.com':80
'ma#####1.teamviewer.com':80

TCP:

Запросы HTTP GET:

http://11#.#11.111.1/wpad.dat via wp#d
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
http://pi###.#eamviewer.com/din.aspx?s=#####################################################
http://pi###.#eamviewer.com/din.aspx?s=####################################################
http://ma#####.teamviewer.com/din.aspx?s=#####################################################
http://ma#####.teamviewer.com/din.aspx?s=####################################################
http://ma#####1.teamviewer.com/din.aspx?s=#####################################################

UDP:

DNS ASK wp#d
DNS ASK www.download.windowsupdate.com
DNS ASK pi###.#eamviewer.com
DNS ASK ma#####.teamviewer.com
DNS ASK ma#####0.teamviewer.com
DNS ASK ma#####1.teamviewer.com
DNS ASK ma#####2.teamviewer.com
DNS ASK ma#####3.teamviewer.com
DNS ASK ma#####4.teamviewer.com
DNS ASK ma#####5.teamviewer.com
DNS ASK ma#####6.teamviewer.com

Другое:

Создает и запускает на исполнение:

'%TEMP%\NS-1BEC4.tmp\NS-SRPJ1.tmp' /SL4 $30092 <Полный путь к файлу> 3572402 61952 /password=Windows /verysilent
'%APPDATA%\LocalDataNT\SkypeC0SvcService.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /C ""%TEMP%\NS-34NCM.tmp\UPD\updatecache.bat""
'<SYSTEM32>\xcopy.exe' /Y /I "%TEMP%\NS-34NCM.tmp\UPD\*" "%APPDATA%\LocalDataNT\"
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %APPDATA%\LocalDataNT\pp2.pdf
'<SYSTEM32>\svchost.exe' -k "MsHubSvc4" -svcr "SkypeC0SvcService.exe"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней