Trojan.DownLoader30.5241

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\oqvvryd] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\oqvvryd] 'ImagePath' = '<SYSTEM32>\oqvvryd\qpfbiej.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\oqvvryd] 'ImagePath' = '<SYSTEM32>\oqvvryd\qpfbiej.exe'

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\qpfbiej.exe
C:\documents and settings\localservice:.repos

Перемещает следующие файлы

%TEMP%\qpfbiej.exe в <SYSTEM32>\oqvvryd\qpfbiej.exe

Самоудаляется.

Сетевая активность

Подключается к

'mt##.##0.yahoodns.net':25
'mx.##s.untd.com':25
'sm###in.sfr.fr':25

TCP

Запросы HTTP GET

http://www.google.com/

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK tr####teel.home.pl
DNS ASK ya##o.com
DNS ASK lo####chools.org
DNS ASK sm###t-media.de
DNS ASK mx####.#eirich-medien.de
DNS ASK ma###nkasel.lu
DNS ASK mx#.#umdns.net
DNS ASK kh###ria.com
DNS ASK mx#.#itiz.net
DNS ASK na##r.com
DNS ASK mx#.#aver.com
DNS ASK ad####t-cieszyn.pl
DNS ASK ya###.com.sg
DNS ASK us#.###.mailhostbox.com
DNS ASK vi#.#itiz.net
DNS ASK mx.##.##il.iss.as9143.net
DNS ASK up##ail.nl
DNS ASK cl######.us.messagelabs.com
DNS ASK fi####xracing.co.uk
DNS ASK ma#######r.firefoxracing.co.uk
DNS ASK ho##.net
DNS ASK mt##.hoau.net
DNS ASK ea###link.net
DNS ASK mx#.##rthlink.net
DNS ASK ma##.#ollabor8.net
DNS ASK ne###ape.net
DNS ASK fi#####dbaptist.co.uk
DNS ASK fl######illasmanagement.com
DNS ASK ev#.net
DNS ASK fe#m.pl
DNS ASK mx.#len.pl
DNS ASK al##ata.net
DNS ASK mx####.##il.gm0.yahoodns.net
DNS ASK mx#####.#ail.gm0.yahoodns.net
DNS ASK nc#.com
DNS ASK mx#######d01.gslb.pphosted.com
DNS ASK bt###ernet.com
DNS ASK ma##.#wwcargo.com
DNS ASK kn#d.nl
DNS ASK in####d2.knid.nl
DNS ASK ip##fo.io
DNS ASK al###ndinger.ch
DNS ASK gu####dregypt.com
DNS ASK ma##.##lfbadregypt.com
DNS ASK sc###nker.de
DNS ASK sc##########.mail.protection.outlook.com
DNS ASK sn##u.de
DNS ASK ma###n.snafu.de
DNS ASK we####l.azbar.org
DNS ASK ma###.azbar.org
DNS ASK ag###usmann.de
DNS ASK ma###.#gnleusmann.de
DNS ASK ww###rgo.com
DNS ASK ma##.##inkost-zink.de
DNS ASK co#####solutions.net
DNS ASK fe####st-zink.de
DNS ASK mx.##.#tinternet.com
DNS ASK me.com
DNS ASK mx#.##il.icloud.com
DNS ASK pp##.net
DNS ASK in.###.trendmicro.com
DNS ASK pa###inder.gr
DNS ASK or###n.adman.gr
DNS ASK so###et.com.my
DNS ASK mx#.##chosting.com
DNS ASK um###.hinet.net
DNS ASK um####.hinet.net
DNS ASK pp###arns.net
DNS ASK dc#######b9df33.ppstearns.net
DNS ASK tc###ucking.com
DNS ASK tc##########com.mail.protection.outlook.com
DNS ASK no#s.fr
DNS ASK co###bor8.net
DNS ASK st###comm.net
DNS ASK google.com
DNS ASK ma###yins.com
DNS ASK ne##ero.com
DNS ASK mx.##s.untd.com
DNS ASK ms#.#inet.net
DNS ASK ms#####p-mx2.hinet.net
DNS ASK ho##ail.com
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK le####er.kommune.no
DNS ASK mx###.##il.am0.yahoodns.net
DNS ASK pn###.gov.pg
DNS ASK ma##.#ngfa.gov.pg
DNS ASK ms##.hinet.net
DNS ASK wa##doo.fr
DNS ASK le###########une-no.mail.protection.outlook.com
DNS ASK ya##o.gr
DNS ASK qu##d.com
DNS ASK mx.yandex.ru
DNS ASK yandex.ru
DNS ASK ti###linet.it
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK et###.#ail.tiscali.it
DNS ASK ma#l.ru
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK mx#.mail.ru
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK no##ail.com
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK ma##.b-io.co
DNS ASK ka#.se
DNS ASK e-#####ilter03.sunet.se
DNS ASK al###danet.net
DNS ASK sm####n.orange.fr
DNS ASK sm####n.libero.it
DNS ASK un.org
DNS ASK dr####ball.com.ar
DNS ASK du##oy.com
DNS ASK ba#######.sysintegrators.com
DNS ASK eg###nor.com
DNS ASK eg##########.mail.protection.outlook.com
DNS ASK so##.com
DNS ASK so####1.sohu.com
DNS ASK ti##ali.it
DNS ASK ya###.com.ar
DNS ASK fi#######-spread-betting.com
DNS ASK o2##line.de
DNS ASK mx####.#egamailservers.eu
DNS ASK kr####nshyla.com
DNS ASK pr###ermail.net
DNS ASK pr##########net.mail.protection.outlook.com
DNS ASK mt##.##0.yahoodns.net
DNS ASK un###v6.un.org
DNS ASK ac###sengsl.com
DNS ASK ds##ltd.com
DNS ASK ALT1.ASPMX.L.GOOGLE.COM
DNS ASK in###nett.com
DNS ASK mx#.#angia.biz
DNS ASK sc#####ineholdings.com
DNS ASK mx#.##ailsrvr.com
DNS ASK el####oschimek.de
DNS ASK mx##.#spgateway.de
DNS ASK ma##.#sm-ltd.com
DNS ASK sm###in.sfr.fr
DNS ASK aspmx.l.google.com
DNS ASK gl###waters.ca
DNS ASK ms#####p-mx1.hinet.net
DNS ASK in###hell.in
DNS ASK ge####marimo.com
DNS ASK mx##.dns.com.cn
DNS ASK ka####tabiner.com
DNS ASK li##ro.it
'<DNS_SERVER>':53

Другое

Создает и запускает на исполнение

'<SYSTEM32>\oqvvryd\qpfbiej.exe' /d"<Полный путь к файлу>"
'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\oqvvryd\' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\qpfbiej.exe" <SYSTEM32>\oqvvryd\' (со скрытым окном)
'<SYSTEM32>\sc.exe' create oqvvryd binPath= "<SYSTEM32>\oqvvryd\qpfbiej.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'<SYSTEM32>\sc.exe' description oqvvryd "wifi internet conection"' (со скрытым окном)
'<SYSTEM32>\sc.exe' start oqvvryd' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\oqvvryd\
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\qpfbiej.exe" <SYSTEM32>\oqvvryd\
'<SYSTEM32>\sc.exe' create oqvvryd binPath= "<SYSTEM32>\oqvvryd\qpfbiej.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'<SYSTEM32>\sc.exe' description oqvvryd "wifi internet conection"
'<SYSTEM32>\sc.exe' start oqvvryd
'<SYSTEM32>\svchost.exe'