Trojan.DownLoader30.9760

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\untglvmq] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\untglvmq] 'ImagePath' = '<SYSTEM32>\untglvmq\brxqrzpy.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\untglvmq] 'ImagePath' = '<SYSTEM32>\untglvmq\brxqrzpy.exe'

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\brxqrzpy.exe
C:\documents and settings\localservice:.repos

Перемещает следующие файлы

%TEMP%\brxqrzpy.exe в <SYSTEM32>\untglvmq\brxqrzpy.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.google.com/

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK co#.com
DNS ASK wh###oneye.com
DNS ASK de##net.com
DNS ASK mx#.##rthlink.net
DNS ASK ui##.com
DNS ASK ok##ate.edu
DNS ASK ma#####t02.okstate.edu
DNS ASK ma##.uitp.com
DNS ASK mx#.###.mail.yahoo.com
DNS ASK em##l.com
DNS ASK mx#.#mpal.com
DNS ASK li##ro.it
DNS ASK sm####n.libero.it
DNS ASK va####escott.com
DNS ASK ol####aternity.com
DNS ASK mx#.#chwab.com
DNS ASK sc##ab.com
DNS ASK hu#######rmacyandsurgical.com
DNS ASK cs####itecture.com
DNS ASK mx#.##ailsrvr.com
DNS ASK bl###ovi.net
DNS ASK ma####.teramail.cz
DNS ASK hu####.k12.ca.us
DNS ASK ci##fk.com
DNS ASK ma##.b-io.co
DNS ASK cl##net.org
DNS ASK ba#.com.sa
DNS ASK alt1.aspmx.l.google.com
DNS ASK gr###hsteel.com
DNS ASK alt2.aspmx.l.google.com
DNS ASK ya##o.fr
DNS ASK hu####.k12.us.ca
DNS ASK gu##be.com
DNS ASK ya##o.it
DNS ASK gm#.it
DNS ASK mx##.gmx.net
DNS ASK io#.it
DNS ASK d1######.#ss.barracudanetworks.com
DNS ASK at#####finehomes.com
DNS ASK mx#.##curolytics.io
DNS ASK ti##ali.it
DNS ASK et###.#ail.tiscali.it
DNS ASK ur##met.com
DNS ASK ac###########c-service-prod.ol.epicgames.com
DNS ASK dr##son.com
DNS ASK bg.##kwak.com
DNS ASK bg.###.wakwak.com
DNS ASK ya###.com.hk
DNS ASK tn##tho.com
DNS ASK mx#######102.gslb.pphosted.com
DNS ASK wi###wslive.com
DNS ASK na#.###.#rotection.outlook.com
DNS ASK no##ood.com
DNS ASK dk.#bm.com
DNS ASK at#####cbailbonding.com
DNS ASK sm##.tin.it
DNS ASK sm###in.iol.it
DNS ASK ei##om.net
DNS ASK ma###.eircom.net
DNS ASK at###tic.ats.pl
DNS ASK ma##.##lantic.ats.pl
DNS ASK at####icautoaid.com
DNS ASK sm##.##cureserver.net
DNS ASK ur###oven.com
DNS ASK at#####c-autocars.fr
DNS ASK mx.##eamail.com
DNS ASK ca#.##rsulex.com
DNS ASK ho##ail.de
DNS ASK at#####cautogroupbb.net
DNS ASK ho###il.co.uk
DNS ASK ti#.it
DNS ASK wa##doo.fr
DNS ASK hu####emical.com
DNS ASK co####il.sa-mte.com
DNS ASK ya##o.co.in
DNS ASK us.#bm.com
DNS ASK mx######b2d01.pphosted.com
DNS ASK ms#.#inet.net
DNS ASK ms#####p-mx2.hinet.net
DNS ASK ho##ail.com
DNS ASK tr#####azersystem.com
DNS ASK aspmx.l.google.com
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK gm##l.com
DNS ASK alt1.gmail-smtp-in.l.google.com
DNS ASK tr#####azetrailers.com
DNS ASK be.#bm.com
DNS ASK ik#.com
DNS ASK el##ric.com
DNS ASK mx#.#loudapp.ec
DNS ASK mx.##c.com.ar
DNS ASK ty#.com.ar
DNS ASK cp.###illasl.com
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK ma#####per.fagms.net
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK ma##.fagms.net
DNS ASK in#####investments.com
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK mx#######201.gslb.pphosted.com
DNS ASK ya###.com.ar
DNS ASK mt##.##0.yahoodns.net
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK cb##ves.com
DNS ASK mx#######901.gslb.pphosted.com
DNS ASK ma#####s.gloobal.net
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK sm##.iki.com
DNS ASK im##.com.sa
DNS ASK ms##.hinet.net
DNS ASK at#.com
DNS ASK ho##ail.fr
DNS ASK eu#.###.#rotection.outlook.com
DNS ASK hc##c.gc.ca
DNS ASK mx.####.seg-egs.gc.ca
DNS ASK ya##o.co.uk
DNS ASK google.com
DNS ASK mx#####.#ail.gm0.yahoodns.net
DNS ASK mx###.##il.am0.yahoodns.net
DNS ASK sm####n.inwind.it
DNS ASK au###esk.com
DNS ASK mx######a5201.pphosted.com
DNS ASK ty##n.com
DNS ASK mx#######402.gslb.pphosted.com
DNS ASK lg#.com
DNS ASK in##nd.it
DNS ASK ms#####p-mx1.hinet.net
DNS ASK sm####n.orange.fr
DNS ASK vi###tron.ca
DNS ASK mx######91d01.pphosted.com
DNS ASK ex##te.com
DNS ASK ma#######xcite.roc2.bluetie.com
DNS ASK ma#l.ru
DNS ASK mx#.mail.ru
DNS ASK ku##ass.net
DNS ASK sm##.#uzbass.net
DNS ASK mx.##deotron.ca
DNS ASK di###way.com
DNS ASK a3#####03.direcpc.com
DNS ASK gm#.de
DNS ASK ao#.com
DNS ASK mx##.#mig.gmx.net
DNS ASK mx####.##il.gm0.yahoodns.net
DNS ASK ms#.com
DNS ASK ms#####.##c.protection.outlook.com
DNS ASK mx#######f01.gslb.pphosted.com
'<DNS_SERVER>':53

Другое

Создает и запускает на исполнение

'<SYSTEM32>\untglvmq\brxqrzpy.exe' /d"<Полный путь к файлу>"
'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\untglvmq\' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\brxqrzpy.exe" <SYSTEM32>\untglvmq\' (со скрытым окном)
'<SYSTEM32>\sc.exe' create untglvmq binPath= "<SYSTEM32>\untglvmq\brxqrzpy.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'<SYSTEM32>\sc.exe' description untglvmq "wifi internet conection"' (со скрытым окном)
'<SYSTEM32>\sc.exe' start untglvmq' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\untglvmq\
'<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\brxqrzpy.exe" <SYSTEM32>\untglvmq\
'<SYSTEM32>\sc.exe' create untglvmq binPath= "<SYSTEM32>\untglvmq\brxqrzpy.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'<SYSTEM32>\sc.exe' description untglvmq "wifi internet conection"
'<SYSTEM32>\sc.exe' start untglvmq
'<SYSTEM32>\svchost.exe'