Trojan.DownLoader29.45803

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\g8564163xva] 'ImagePath' = '%WINDIR%\dsv1t41r1i\g8564163xva.sys'
[<HKLM>\System\CurrentControlSet\Services\mcuartekbo] 'ImagePath' = '%WINDIR%\xrmqos\mcuartekbo.sys'

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\wttyi\adhlog.txt
<SYSTEM32>\fcxrs90esm6
<SYSTEM32>\6fcxrs90esm6
%WINDIR%\syswow64\fcxrs9.dll
<SYSTEM32>\fcxrs9.dll
%WINDIR%\wttyi\cw.dat
%WINDIR%\wttyi\adhdriverlog.txt
%WINDIR%\wttyi\ui\sys_dlg_min.png
%WINDIR%\temp\udde46b.tmp
%WINDIR%\wttyi\ui\toolbar_pushed.png
%WINDIR%\wttyi\ui\toolbar_normal.png
%WINDIR%\wttyi\ui\toolbar_hover.png
%WINDIR%\wttyi\ui\tabbar_pushed.png
%WINDIR%\wttyi\ui\tabbar_normal.png
%WINDIR%\wttyi\ui\tabbar_hover.png
%WINDIR%\wttyi\ui\vertical_border.bmp
%WINDIR%\wttyi\ui\sys_dlg_restore.png
%WINDIR%\cw.dat
nul
%WINDIR%\wttyi\module\feedback\adh\pcnetconn.log
%WINDIR%\wttyi\module\feedback\adh\pcinfodrv_pc.log
%WINDIR%\wttyi\module\feedback\adh\pcinfodrv_file.log
%WINDIR%\temp\udd712b.tmp
%WINDIR%\wttyi\module\feedback\adh\pcinfodrv.log
%WINDIR%\xrmqos\mcuartekbo.sys
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\feedback[1].zip
%WINDIR%\wttyi\dr.dat
%WINDIR%\wttyi\module\feedback\feedback.zip.__md5.txt
%WINDIR%\wttyi\module\feedback\logd.dll
%WINDIR%\wttyi\module\feedback\services.exe
%WINDIR%\wttyi\module\feedback\feedback.bat
%WINDIR%\wttyi\module\feedback\remote.exe
%WINDIR%\wttyi\module\feedback\feedback.zip
<SYSTEM32>\pcminfo_helper.sys
%WINDIR%\wttyi\ui\sys_dlg_menu.png
%WINDIR%\wttyi\ui\sys_dlg_max.png
%WINDIR%\wttyi\ui\sys_dlg_close.png
%WINDIR%\wttyi\ui\antivirus.png
%WINDIR%\wttyi\ui\adhuires.zip
%WINDIR%\wttyi\module\controlwindow\remote.exe
%WINDIR%\wttyi\module\controlwindow\hkthunk64.dll
%WINDIR%\wttyi\module\controlwindow\hkthunk.dll
%WINDIR%\wttyi\ui\button_hover.png
%WINDIR%\wttyi\nononouse.txt
%WINDIR%\wttyi\module\controlwindow\cwapi_32.dll
%WINDIR%\wttyi\module\controlwindow\controlwindow.dll.__config.ini
%WINDIR%\wttyi\module\controlwindow\controlwindow.dll
%WINDIR%\wttyi\adhres.zip
%WINDIR%\dsv1t41r1i\g8564163xva.sys
%WINDIR%\wttyi\dv.dat
%WINDIR%\wttyi\module\controlwindow\glla.exe
%WINDIR%\wttyi\ui\button_normal.png
%WINDIR%\wttyi\ui\bg.jpg
%WINDIR%\wttyi\ui\button_pushed.png
%WINDIR%\wttyi\ui\softwaremanager.png
%WINDIR%\wttyi\ui\navigationbar.bmp
%WINDIR%\wttyi\ui\skin.xml.bak
%WINDIR%\wttyi\ui\skin.xml
%WINDIR%\wttyi\ui\search_bg.png
%WINDIR%\wttyi\ui\scrollbar.bmp
%WINDIR%\wttyi\ui\preventnumber.png
%WINDIR%\wttyi\ui\networkshield.png
%WINDIR%\wttyi\ui\icon.png
%WINDIR%\wttyi\ui\cloud.png
%WINDIR%\wttyi\ui\horizontal_border.bmp
%WINDIR%\wttyi\ui\firewall_ok.png
%WINDIR%\wttyi\ui\firewall.png
%WINDIR%\wttyi\ui\examine_background.bmp
%WINDIR%\wttyi\ui\computerexamine.xml
%WINDIR%\wttyi\ui\commmon.png
%WINDIR%\wttyi\module\feedback\adh\pcinfodrv_proc.log
%WINDIR%\wttyi\module\feedback\adh\pcrecord.log

Удаляет следующие файлы

%WINDIR%\wttyi\adhres.zip
%WINDIR%\wttyi\ui\adhuires.zip
%WINDIR%\temp\udde46b.tmp
%WINDIR%\dsv1t41r1i\g8564163xva.sys
<SYSTEM32>\pcminfo_helper.sys
%WINDIR%\xrmqos\mcuartekbo.sys
%WINDIR%\temp\udd712b.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\feedback[1].zip

Подменяет следующие файлы

%WINDIR%\dsv1t41r1i\g8564163xva.sys
%WINDIR%\xrmqos\mcuartekbo.sys

Сетевая активность

TCP

Запросы HTTP GET

http://1.###unter.cn/index.php/client_get_data/get_agent_module/agent_name/agent_test?ts##########
http://2.###unter.cn/index.php/client_get_data/get_agent_module/agent_name/agent_test?ts##########
http://3.###unter.cn/index.php/client_get_data/get_agent_module/agent_name/agent_test?ts##########
http://3.###unter.cn/index.php/client_get_data/get_agent_module/agent_name/ejob1/rmac/0A0027000038?ts##########
http://3.###unter.cn/index.php/client_download/download/type/module/id/545?ts####################
http://3.###unter.cn/index.php/client_get_data/get_client_param/agent_name/ejob1/mac/28FE9049C538/?ts##########
http://d.##009.com/md/adhunter/feedback.zip
http://43.##8.71.12/index.php/yjs/get_config?ag#############################
http://yw##wl.com/index.php/client_get_data/get_agent_module_param?ag######################################################################
http://43.##8.71.12/index.php/client_get_data/get_client_remote_control_rule?ma###########################

UDP

DNS ASK 1.###unter.cn
DNS ASK 2.###unter.cn
DNS ASK 3.###unter.cn
DNS ASK d.##009.com
DNS ASK yw##wl.com
'255.255.255.255':8844

Другое

Ищет следующие окна

ClassName: 'Progman' WindowName: 'Program Manager'
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\wttyi\module\feedback\remote.exe' /ep %WINDIR%\wttyi\Module\feedback\services.exe
'%WINDIR%\wttyi\module\feedback\services.exe'
'<SYSTEM32>\cmd.exe' /c %WINDIR%\wttyi\Module\feedback\feedback.bat' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
'<SYSTEM32>\cmd.exe' /c %WINDIR%\wttyi\Module\feedback\feedback.bat
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\iCafe8 /v Admin
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SOFTWARE\EYOOCLIENTSTATUS /v SuperLogin
'<SYSTEM32>\reg.exe' query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet /v superadmin
'<SYSTEM32>\ping.exe' 127.0.1 -n 15
'<SYSTEM32>\cmd.exe' /c reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v desktop
'<SYSTEM32>\reg.exe' query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v desktop
'<SYSTEM32>\cmd.exe' /c dir /b %HOMEPATH%\Desktop\*.lnk
'<SYSTEM32>\cmd.exe' /c dir /b C:\Users\Public\Desktop\*.lnk