Trojan.DownLoader29.45377

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '%WINDIR%\<Имя файла>.exe'

Вредоносные функции

Ищет следующие окна с целью

обнаружения различных программ и игр:

ClassName: 'aol frame25', WindowName: ''

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\bedrock.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\40e1b425[1].js
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\f8c6dd44[1].js
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\9a358300[1].js
<LS_APPDATA>\microsoft\windows\history\history.ie5\mshist012019071720190718\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\search[1].txt
%APPDATA%\microsoft\windows\cookies\user@www.bing[2].txt
%APPDATA%\microsoft\windows\cookies\user@bing[3].txt
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\down[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\bullet[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\info_48[2]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\background_gradient[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\errorpagetemplate[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\down[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\bullet[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\info_48[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\background_gradient[2]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\errorpagestrings[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\errorpagetemplate[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\dnserrordiagoff_weboc[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\dnserrordiagoff_weboc[1]
%WINDIR%\<Имя файла>.exe
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\f1d86b5a[1].js
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\passport[1].aspx

Удаляет следующие файлы

<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\dnserrordiagoff_weboc[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\errorpagetemplate[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\errorpagestrings[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\httperrorpagesscripts[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\background_gradient[2]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\info_48[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\bullet[1]
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\down[1]
%APPDATA%\microsoft\windows\cookies\user@bing[3].txt

Подменяет следующие файлы

<LS_APPDATA>\Microsoft\Windows\<INETFILES>\Content.IE5\CAASBYCL\errorPageStrings[1]
%APPDATA%\Microsoft\Windows\Cookies\user@bing[2].txt
%APPDATA%\microsoft\windows\cookies\user@bing[3].txt

Сетевая активность

TCP

Запросы HTTP GET

http://www.sp###fork.com/hd923.dll
http://www.bing.com/search?q=####################################################################################################################################################################...
http://www.bing.com/sa/simg/sw_mg_l_4d_cct.png
http://www.bing.com/sa/simg/sw_mg_l_4d_brandw2.png
http://www.bing.com/fd/ls/l?IG###################################################################################################################################################################...
http://www.bing.com/rb/5m/cj,nj/c44ec255/9a358300.js?bu###################################################
http://www.bing.com/rs/31/1Q/cj,nj/3f1e2270/f8c6dd44.js
http://www.bing.com/rs/31/25/cj,nj/4c7364c5/40e1b425.js
http://www.bing.com/rs/31/2n/cj,nj/bf587ad6/f1d86b5a.js
http://www.bing.com/Passport.aspx?po#####
http://oc##.#odaddy.com//MEIwQDA%2BMDwwOjAJBgUrDgMCGgUABBQdI2%2BOBkuXH93foRUj4a7lAr4rGwQUOpqFBxBnKLbv9r0FQW4gwZTaD94CAQc%3D