Trojan.DownLoader29.50268

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\jjeyisqe] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\jjeyisqe] 'ImagePath' = '<SYSTEM32>\jjeyisqe\pwjjmxpk.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\jjeyisqe] 'ImagePath' = '<SYSTEM32>\jjeyisqe\pwjjmxpk.exe'

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\pwjjmxpk.exe
C:\documents and settings\localservice:.repos

Перемещает следующие файлы

%TEMP%\pwjjmxpk.exe в <SYSTEM32>\jjeyisqe\pwjjmxpk.exe

Самоудаляется.

Сетевая активность

Подключается к

'mx##.#spgateway.de':25
'mx.##deotron.ca':25
'mx#.#aver.com':25
'mt##.##0.yahoodns.net':25
'mx#.mail.ru':25
'ka####ka.skok.pl':25
'mx###.##il.am0.yahoodns.net':25
'alt1.gmail-smtp-in.l.google.com':25
'ho#########.olc.protection.outlook.com':25
'mx.###zta.onet.pl':25
'mx.#len.pl':25
'go###e.co.uk':443
'alt2.gmail-smtp-in.l.google.com':25
'al######x-vip1.prodigy.net':25

TCP

Запросы HTTP GET

http://www.google.com/
http://dg###curity.com/wp-content/themes/flawless-v1-17/tbl_status.php

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK ve##zon.net
DNS ASK do####brokers.ru
DNS ASK la###-tir.ru
DNS ASK wi####mtravel.com
DNS ASK ag######.onlineagency.com
DNS ASK un###anzone.com
DNS ASK sa##ha.ru
DNS ASK we##ring.ru
DNS ASK mo###anka.ru
DNS ASK sm##.##cureserver.net
DNS ASK in##nd.it
DNS ASK sm####n.inwind.it
DNS ASK un###hstroy.ru
DNS ASK li##ro.it
DNS ASK mx.##ndex.net
DNS ASK sm####n.libero.it
DNS ASK sd###eteam.com
DNS ASK mx#.#imdo.com
DNS ASK wi###wpros.com
DNS ASK mt##ency.ru
DNS ASK lv.##cuvt.com
DNS ASK wm##c.com
DNS ASK ba######a.cybersharks.net
DNS ASK co#.net
DNS ASK cx#.##.#.cloudfilter.net
DNS ASK ko##stat.ru
DNS ASK ne###ape.net
DNS ASK mx#.##stinger.ru
DNS ASK go###e.co.uk
DNS ASK sp##slit.ru
DNS ASK go###e.co.nz
DNS ASK va##as.com
DNS ASK ma##.vaumas.com
DNS ASK tr####health.com
DNS ASK mx####.concentric.com
DNS ASK ya##o.com
DNS ASK si###n.ea.com
DNS ASK ya##o.co.uk
DNS ASK mx####.##il.gm0.yahoodns.net
DNS ASK ex##te.com
DNS ASK pi##m.net
DNS ASK lo###nbici.it
DNS ASK ma##.#ocrinbici.it
DNS ASK te###it.com.pl
DNS ASK gm##l.com
DNS ASK lo####traeter.de
DNS ASK mx##.#spgateway.de
DNS ASK dg###curity.com
DNS ASK we####s.dogado.net
DNS ASK na##r.com
DNS ASK ka####ka.skok.pl
DNS ASK op.pl
DNS ASK mx.###zta.onet.pl
DNS ASK o2.pl
DNS ASK mx.#len.pl
DNS ASK mi#####shicalamba.com
DNS ASK mx#.#aver.com
DNS ASK sk#k.pl
DNS ASK sw###dreads.ch
DNS ASK ab##te.ru
DNS ASK li######.#lc.protection.outlook.com
DNS ASK ho##net.ru
DNS ASK ka###shvat.ru
DNS ASK a1.net
DNS ASK sm##.a1.net
DNS ASK vi##rson.ru
DNS ASK pa###onet.gr
DNS ASK gm#.net
DNS ASK mx##.#mig.gmx.net
DNS ASK ap##trof.ru
DNS ASK pa##stas.gr
DNS ASK pa###inder.gr
DNS ASK mo#####.pathfinder.gr
DNS ASK zn###ekto.ru
DNS ASK le##nto.ru
DNS ASK ao#.com
DNS ASK ma#######xcite.roc2.bluetie.com
DNS ASK mx#.#tenet.gr
DNS ASK ot##et.gr
DNS ASK sb###obal.net
DNS ASK pu######1.mail2world.com
DNS ASK mx##.mail.com
DNS ASK ho##ail.com
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK nt###rld.com
DNS ASK hu##a.com
DNS ASK mx.##.##mail.iss.as9143.net
DNS ASK mx#.##rthlink.net
DNS ASK se####il.hunsa.com
DNS ASK alt1.aspmx.l.google.com
DNS ASK ms#####.##c.protection.outlook.com
DNS ASK mx#.#7host.net
DNS ASK to###ntact.ru
DNS ASK aspmx.l.google.com
DNS ASK alt1.gmail-smtp-in.l.google.com
DNS ASK op###line.net
DNS ASK ms#.com
DNS ASK ea###link.net
DNS ASK in#####tionalcore.com
DNS ASK alt2.gmail-smtp-in.l.google.com
DNS ASK in#####eyourhealth.com
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK uo#.com.br
DNS ASK mx#.#otmail.com
DNS ASK alt4.gmail-smtp-in.l.google.com
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK mx.##l.com.br
DNS ASK mt##.##0.yahoodns.net
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK ik##edia.ru
DNS ASK mx.yandex.ru
DNS ASK vi###tron.ca
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK mx.##deotron.ca
DNS ASK li#e.fr
DNS ASK eu#.###.#rotection.outlook.com
DNS ASK mx.##timum.net
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK in####etfuel.com
DNS ASK sr##dv.ru
DNS ASK gr###iti.net
DNS ASK le###ngtree.com
DNS ASK iz#.com
DNS ASK ly##s.com
DNS ASK mx.#####.#om.cust.b.hostedemail.com
DNS ASK ad#a.ca
DNS ASK ot####tp1.adga.ca
DNS ASK ya##o.fr
DNS ASK li######eresidential.com
DNS ASK li#############ntial-com.mail.protection.outlook.com
DNS ASK co##ast.net
DNS ASK google.com
DNS ASK mx#.#omcast.net
DNS ASK ch##ter.net
DNS ASK mx#.#harter.net
DNS ASK alt3.gmail-smtp-in.l.google.com
DNS ASK ma##.com
DNS ASK mx###.##il.am0.yahoodns.net
DNS ASK mx#.gmx.com
DNS ASK le##########com.mail.protection.outlook.com
DNS ASK mm#p.ru
DNS ASK ma###star.com
DNS ASK ym##l.com
DNS ASK mx#.mail.ru
DNS ASK it####sulting.com
DNS ASK li#e.ie
DNS ASK ja#####.oilfield.slb.com
DNS ASK we###ost.net
DNS ASK d1######.#ss.barracudanetworks.com
DNS ASK bk.ru
DNS ASK in##x.ru
DNS ASK al######x-vip1.prodigy.net
DNS ASK li#t.ru
DNS ASK ka##ok.com
DNS ASK ne##ero.com
DNS ASK mx.##a.untd.com
DNS ASK gmail-smtp-in.l.google.com
DNS ASK ma#l.ru
DNS ASK li##.com
DNS ASK ka#####century21.com
DNS ASK ya##o.de
'<DNS_SERVER>':53

Другое

Создает и запускает на исполнение

'<SYSTEM32>\jjeyisqe\pwjjmxpk.exe' /d"<Полный путь к файлу>"
'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\jjeyisqe\' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\pwjjmxpk.exe" <SYSTEM32>\jjeyisqe\' (со скрытым окном)
'<SYSTEM32>\sc.exe' create jjeyisqe binPath= "<SYSTEM32>\jjeyisqe\pwjjmxpk.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'<SYSTEM32>\sc.exe' description jjeyisqe "wifi internet conection"' (со скрытым окном)
'<SYSTEM32>\sc.exe' start jjeyisqe' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\jjeyisqe\
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\pwjjmxpk.exe" <SYSTEM32>\jjeyisqe\
'<SYSTEM32>\sc.exe' create jjeyisqe binPath= "<SYSTEM32>\jjeyisqe\pwjjmxpk.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'<SYSTEM32>\sc.exe' description jjeyisqe "wifi internet conection"
'<SYSTEM32>\sc.exe' start jjeyisqe
'<SYSTEM32>\svchost.exe'