Trojan.DownLoader30.28324

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'update' = '%APPDATA%\zeus\zeus.vbs'
[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'drivers' = '%APPDATA%\zeus\zeus.vbs'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="test" profile=private,domain,public protocol=any enable=yes dir=in program="%APPDATA%\zeus\zeus.exe" action=allow
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="test" profile=private,domain,public protocol=any enable=yes dir=in program="%WINDIR%\syswow64\ftp.exe" action=allow
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="test" profile=private,domain,public protocol=any enable=yes dir=in program="<SYSTEM32>\ftp.exe" action=allow

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\zeus\zeus.exe
%APPDATA%\zeus\os_versionnames.txt
%APPDATA%\zeus\run_program.bat
%APPDATA%\zeus\reg_cau.vbs
%APPDATA%\zeus\reg_cau.bat
%APPDATA%\zeus\zeus.vbs
%APPDATA%\zeus\paidard.vbs
%APPDATA%\zeus\paidard.bat
%APPDATA%\zeus\system_result.txt

Удаляет следующие файлы

%APPDATA%\zeus\os_versionnames.txt
%APPDATA%\zeus\reg_cau.vbs
%APPDATA%\zeus\run_program.bat
%APPDATA%\zeus\reg_cau.bat
%APPDATA%\zeus\paidard.vbs
%APPDATA%\zeus\paidard.bat
%APPDATA%\zeus\system_result.txt

Сетевая активность

Подключается к

'51.##5.157.110':80

UDP

DNS ASK re#####r1.opendns.com
DNS ASK my##.#pendns.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\zeus\reg_cau.vbs"
'%APPDATA%\zeus\zeus.exe' arg1"
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\zeus\paidard.vbs"
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\zeus\reg_cau.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\zeus\run_program.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\zeus\paidard.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c mkdir %APPDATA%\zeus
'%WINDIR%\syswow64\ipconfig.exe' /all
'%WINDIR%\syswow64\findstr.exe' /C:"Host" /C:"OS Name" /C:"System Type" /C:"Registered Owner" /C:"System Boot Time" /C:"System Directory" /C:"Time Zone"
'%WINDIR%\syswow64\cmd.exe' /c systeminfo | findstr /C:"Host" /C:"OS Name" /C:"System Type" /C:"Registered Owner" /C:"System Boot Time" /C:"System Directory" /C:"Time Zone" >> %APPDATA%\zeus\system_result.txt && ipconfig...
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="test" profile=private,domain,public protocol=any enable=yes dir=in program="<SYSTEM32>\ftp.exe" action=allow
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="test" profile=private,domain,public protocol=any enable=yes dir=in program="%WINDIR%\syswow64\ftp.exe" action=allow
'%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="test" profile=private,domain,public protocol=any enable=yes dir=in program="%APPDATA%\zeus\zeus.exe" action=allow
'%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "drivers" /t REG_SZ /d "%APPDATA%\zeus\zeus.vbs" -f
'%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "update" /t REG_SZ /d "%APPDATA%\zeus\zeus.vbs" -f
'%WINDIR%\syswow64\findstr.exe' /C:"IPv4" /C:"Physical Address"
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\zeus\paidard.bat" "
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\zeus\run_program.bat" "
'%WINDIR%\syswow64\eventvwr.exe'
'%WINDIR%\syswow64\reg.exe' add "HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\commnd_tmp" /v "" /t REG_SZ /d "%APPDATA%\zeus\run_program.bat" -f
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\zeus\reg_cau.bat" "
'%WINDIR%\syswow64\cmd.exe' /c %APPDATA%\zeus\reg_cau.vbs
'%WINDIR%\syswow64\findstr.exe' C:"OS Name"
'%WINDIR%\syswow64\systeminfo.exe'
'%WINDIR%\syswow64\cmd.exe' /c systeminfo | findstr C:"OS Name" >> %APPDATA%\zeus\os_versionNames.txt
'%WINDIR%\syswow64\cmd.exe' /c %APPDATA%\zeus\paidard.vbs
'%WINDIR%\syswow64\nslookup.exe' myip.opendns.com. resolver1.opendns.com