Trojan.DownLoader26.41711

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Firewall.cpl] 'Debugger' = 'wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmc.exe] 'Debugger' = 'wuauclt.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '*MusicMedia' = '"%ALLUSERSPROFILE%\MusicMedia\dwm.exe"'

Изменяет следующие исполняемые системные файлы:

<SYSTEM32>\Firewall.cpl.0LseSeL
<SYSTEM32>\mmc.exe.3g61

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all

Изменения в файловой системе:

Создает следующие файлы:

<Полный путь к файлу>:ZONE.identifier
%APPDATA%\MusicMedia\c62AAD8E15E39315D27A452690A76A7B8.txt
<SYSTEM32>\firewall.cpl.new
<SYSTEM32>\firewall.cpl:Zone.Identifier
<SYSTEM32>\mmc.exe.new
<SYSTEM32>\mmc.exe:Zone.Identifier
%ALLUSERSPROFILE%\MusicMedia\dwm.exe
%ALLUSERSPROFILE%\MusicMedia\btplayerctrl.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\MusicMedia\dwm.exe
%ALLUSERSPROFILE%\MusicMedia\btplayerctrl.exe

Удаляет следующие файлы:

<Полный путь к файлу>:ZONE.identifier
%APPDATA%\MusicMedia\c62AAD8E15E39315D27A452690A76A7B8.txt
<SYSTEM32>\dbVyDCKMjblEBdXCdkSjVK
<SYSTEM32>\jogAzwlGZWGhBjvu

Перемещает следующие системные файлы:

<SYSTEM32>\firewall.cpl в <SYSTEM32>\Firewall.cpl.0LseSeL
<SYSTEM32>\lwsAvPBdIKps в <SYSTEM32>\nlCfaQaesTHn
<SYSTEM32>\yyKTQpBwHOCsI в <SYSTEM32>\lwsAvPBdIKps
<SYSTEM32>\YxRfiABwFnrWe в <SYSTEM32>\yyKTQpBwHOCsI
<SYSTEM32>\kIQtwsTcsOrDh в <SYSTEM32>\YxRfiABwFnrWe
<SYSTEM32>\iVGoqAaQONxd в <SYSTEM32>\kIQtwsTcsOrDh
<SYSTEM32>\mcHJLoJBujZByQR в <SYSTEM32>\iVGoqAaQONxd
<SYSTEM32>\DdYDBqDsiIduUuMg в <SYSTEM32>\mcHJLoJBujZByQR
<SYSTEM32>\DhAVeTDnqABVc в <SYSTEM32>\DdYDBqDsiIduUuMg
<SYSTEM32>\KMOPrxtwMxcpyP в <SYSTEM32>\DhAVeTDnqABVc
<SYSTEM32>\HLshveybJQhMonWZ в <SYSTEM32>\KMOPrxtwMxcpyP
<SYSTEM32>\tGRdlcOvBqBv в <SYSTEM32>\HLshveybJQhMonWZ
<SYSTEM32>\SOnILSbgyBkucSWl в <SYSTEM32>\tGRdlcOvBqBv
<SYSTEM32>\buVwWTdVnRfpb в <SYSTEM32>\SOnILSbgyBkucSWl
<SYSTEM32>\mpQaGmKZltbX в <SYSTEM32>\buVwWTdVnRfpb
<SYSTEM32>\EevNDutIQwbGWL в <SYSTEM32>\mpQaGmKZltbX
<SYSTEM32>\xqKbjztXEgAqwo в <SYSTEM32>\EevNDutIQwbGWL
<SYSTEM32>\mmc.exe.3g61 в <SYSTEM32>\xqKbjztXEgAqwo
<SYSTEM32>\mmc.exe в <SYSTEM32>\mmc.exe.3g61
<SYSTEM32>\Jh{FXdNIiwJhVlNMdGDxbX в <SYSTEM32>\dbVyDCKMjblEBdXCdkSjVK
<SYSTEM32>\McMQLLTuxXchvejvPdUbZXu в <SYSTEM32>\Jh{FXdNIiwJhVlNMdGDxbX
<SYSTEM32>\HukcoJVFQJhGrDTNDmagBKHl в <SYSTEM32>\McMQLLTuxXchvejvPdUbZXu
<SYSTEM32>\AUWrldJwcYGqkPomGpjn в <SYSTEM32>\HukcoJVFQJhGrDTNDmagBKHl
<SYSTEM32>\OqAlmzdUYJjeQaZkNPyhXKCu в <SYSTEM32>\AUWrldJwcYGqkPomGpjn
<SYSTEM32>\XobmjRdYIEBJFwvNSXqRvE в <SYSTEM32>\OqAlmzdUYJjeQaZkNPyhXKCu
<SYSTEM32>\vUCxsMgkWcoLVuAxaHqgG в <SYSTEM32>\XobmjRdYIEBJFwvNSXqRvE
<SYSTEM32>\jMHByUVedvFMAeBFDAvBt в <SYSTEM32>\vUCxsMgkWcoLVuAxaHqgG
<SYSTEM32>\zLQRMHuI[FnVqHiVOjOmj в <SYSTEM32>\jMHByUVedvFMAeBFDAvBt
<SYSTEM32>\DfdKIGBHUmWCBdftNdMCbgrm в <SYSTEM32>\zLQRMHuI[FnVqHiVOjOmj
<SYSTEM32>\Firewall.cpl.0LseSeL в <SYSTEM32>\DfdKIGBHUmWCBdftNdMCbgrm
<SYSTEM32>\nlCfaQaesTHn в <SYSTEM32>\piTOTdYysaPPw
<SYSTEM32>\piTOTdYysaPPw в <SYSTEM32>\jogAzwlGZWGhBjvu

Перемещает следующие файлы:

<Полный путь к файлу> в %ALLUSERSPROFILE%\MusicMedia\dwm.exe

Сетевая активность:

Подключается к:

'ap#.##pmania.com':80
'07########1b568bdec00f91120d6be6.ru':80
'57########9e9bbd24ba0738237c2c05.su':80

TCP:

Запросы HTTP GET:

http://ap#.##pmania.com/

Запросы HTTP POST:

http://07#########B568BDEC00F91120D6BE6.RU:80/panel/page.php via 07########1b568bdec00f91120d6be6.ru
http://57#########E9BBD24BA0738237C2C05.SU:80/panel/page.php via 57########9e9bbd24ba0738237c2c05.su

UDP:

DNS ASK ap#.##pmania.com
DNS ASK 07########1B568BDEC00F91120D6BE6.RU
DNS ASK 57########9E9BBD24BA0738237C2C05.SU
DNS ASK 99########3F94D350DB34D548D6091A.RU

Другое:

Создает и запускает на исполнение:

'<Полный путь к файлу>'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c echo [zoneTransfer]ZoneID = 2 > "<Полный путь к файлу>":ZONE.identifier & exit
'<SYSTEM32>\sc.exe' config SharedAccess start= disabled