Trojan.DownLoader26.57270

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ZAM_Guard] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\ZAM_Guard] 'ImagePath' = '<DRIVERS>\zamguard32.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\ZAM] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\ZAM] 'ImagePath' = '<DRIVERS>\zam32.sys'

Вредоносные функции:

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtOpenProcess, драйвер-обработчик: zamguard32.sys
NtTerminateProcess, драйвер-обработчик: zamguard32.sys

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Zemana\Tracer\<Имя файла>.trace
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Hungarian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Indonesian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Latvian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Lithuanian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Persian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Polish.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Romanian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Russian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Serbian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Swedish.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Finnish.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Hindi.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Telugu.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Vietnamese.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Norwegian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Malaysian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Kurdish.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Slovak.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Slovenian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Hebrew.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Macedonian.ini
<DRIVERS>\zam32.sys
<LS_APPDATA>\Zemana\Zemana AntiLogger\settings.db
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Turkish.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Ukrainian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Estonian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Croatian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Czech.ini
%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
<LS_APPDATA>\Zemana\Zemana AntiMalware\nedb.zdb
<LS_APPDATA>\Zemana\Zemana AntiMalware\nedb.zdb_config.ini
<DRIVERS>\zamguard32.sys
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\English.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\ChineseSimplified.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\ChineseTraditional.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\French.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Dutch.ini
%TEMP%\{1D680EBD-F2EA-4238-960E-B688FCABBDFE}.cat
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\German.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Italian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Korean.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Spanish.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\BrazilianPortuguese.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Japanese.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Albanian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Arabic.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Bengali.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Bosnian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Bulgarian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Byelorussian.ini
<LS_APPDATA>\Zemana\Zemana AntiLogger\lang\Portuguese.ini
%WINDIR%\ZAM_Guard.krnl.trace
%WINDIR%\ZAM.krnl.trace

Удаляет следующие файлы:

%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
%TEMP%\{1D680EBD-F2EA-4238-960E-B688FCABBDFE}.cat
<SYSTEM32>\d3d9caps.dat

Подменяет следующие файлы:

<SYSTEM32>\d3d9caps.dat
<SYSTEM32>\d3d9caps.tmp

Сетевая активность:

Подключается к:

'wp#d':80
'ca#####.digicert.com':80
'download.windowsupdate.com':80
'dl##.zemana.com':80
'za####ud.zemana.com':80

TCP:

Запросы HTTP GET:

http://11#.#11.111.1/wpad.dat via wp#d
http://ca#####.digicert.com/DigiCertHighAssuranceEVRootCA.crt
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
http://dl##.zemana.com/CacheControl.bin

Запросы HTTP POST: