Trojan.DownLoader29.64583

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\tfbckmli] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\tfbckmli] 'ImagePath' = '<SYSTEM32>\tfbckmli\kpccfeuz.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\tfbckmli] 'ImagePath' = '<SYSTEM32>\tfbckmli\kpccfeuz.exe'

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\kpccfeuz.exe
C:\documents and settings\localservice:.repos

Перемещает следующие файлы

%TEMP%\kpccfeuz.exe в <SYSTEM32>\tfbckmli\kpccfeuz.exe

Самоудаляется.

Сетевая активность

Подключается к

'cl######n-04.mbs.boeing.net':25
'mx#.##antel.net.om':25
'mx##.schlund.de':25
'mx##.#spgateway.de':25
'et###.#ail.tiscali.it':25
'da####hoj.sdcda.org':25
'mx#.##ailsrvr.com':25
'ma######02.midmichigan.net':25
'alt2.gmail-smtp-in.l.google.com':25
'mx.##enet.gr':25
'as####.googlemail.com':25
'hy###1.first.gr':25
'ho#########.olc.protection.outlook.com':25
'mx#######201.gslb.pphosted.com':25
'vi####all.okia.com':25
'mx####.##il.gm0.yahoodns.net':25
'gmail-smtp-in.l.google.com':25
'pr######ntagnt.bryanlgh.org':25
'95.##1.178.17':484

TCP

Запросы HTTP GET

http://www.google.com/

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK mx##.#spgateway.de
DNS ASK ix.##tcom.com
DNS ASK mx#.##rthlink.net
DNS ASK google.com
DNS ASK we##.boeing.com
DNS ASK cl######n-04.mbs.boeing.net
DNS ASK ok##.com
DNS ASK vi####all.okia.com
DNS ASK sp####um-health.org
DNS ASK mx#######201.gslb.pphosted.com
DNS ASK ei#.gr
DNS ASK hy###1.first.gr
DNS ASK ty##kos.gr
DNS ASK as####.googlemail.com
DNS ASK br###lgh.org
DNS ASK pr######ntagnt.bryanlgh.org
DNS ASK st###tiou-co.gr
DNS ASK pr###dence.org
DNS ASK oj##t.om
DNS ASK mx##.schlund.de
DNS ASK di###lden.org
DNS ASK di###ocke.de
DNS ASK et###.#ail.tiscali.it
DNS ASK da####hoj.sdcda.org
DNS ASK ti###linet.it
DNS ASK sd##a.org
DNS ASK mx#.##ailsrvr.com
DNS ASK di#####ttingdies.com
DNS ASK ma######02.midmichigan.net
DNS ASK mi###chigan.org
DNS ASK mx.##enet.gr
DNS ASK go###email.com
DNS ASK pr###iker.com
DNS ASK ASPMX.L.GOOGLE.com
DNS ASK ig#####.ige-xao.com.pl
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK ma####ing-house.pl
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK mx#######502.gslb.pphosted.com
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK gm##l.com
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK gmail-smtp-in.l.google.com
DNS ASK fr#e.fr
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK mx#.free.fr
DNS ASK mm##.#mantel.net.om
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK om###el.net.om
DNS ASK ag##.com
DNS ASK mx#.##antel.net.om
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK ao#.com
DNS ASK ma##.mpsa.com
DNS ASK mp##.com
DNS ASK mx#.pzu.pl
DNS ASK tf###u.com.pl
DNS ASK ho##ail.com
DNS ASK alt2.gmail-smtp-in.l.google.com
DNS ASK ak#4.om
DNS ASK bl####.omantel.net.om
DNS ASK mx##.wum.edu.pl
DNS ASK ib.##waw.edu.pl
DNS ASK mx#.#mpal.com
DNS ASK em##l.com
DNS ASK ig###ao.com.pl
DNS ASK mx####.##il.gm0.yahoodns.net
'<DNS_SERVER>':53

Другое

Создает и запускает на исполнение

'<SYSTEM32>\tfbckmli\kpccfeuz.exe' /d"<Полный путь к файлу>"
'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\tfbckmli\' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\kpccfeuz.exe" <SYSTEM32>\tfbckmli\' (со скрытым окном)
'<SYSTEM32>\sc.exe' create tfbckmli binPath= "<SYSTEM32>\tfbckmli\kpccfeuz.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'<SYSTEM32>\sc.exe' description tfbckmli "wifi internet conection"' (со скрытым окном)
'<SYSTEM32>\sc.exe' start tfbckmli' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\tfbckmli\
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\kpccfeuz.exe" <SYSTEM32>\tfbckmli\
'<SYSTEM32>\sc.exe' create tfbckmli binPath= "<SYSTEM32>\tfbckmli\kpccfeuz.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'<SYSTEM32>\sc.exe' description tfbckmli "wifi internet conection"
'<SYSTEM32>\sc.exe' start tfbckmli
'<SYSTEM32>\svchost.exe'