Trojan.DownLoader6.20992

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'xdfdrjmgub' = '<SYSTEM32>\regsvr32.exe /s "<SYSTEM32>\gopxskgujscvvlhfy.dll"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'xdfdrjmgub' = '<SYSTEM32>\regsvr32.exe /s "%TEMP%\nso7.tmp.dll"'

Вредоносные функции:

Создает и запускает на исполнение:

%HOMEPATH%\temp\TeamViewer\Version4\TeamViewer_.exe
%HOMEPATH%\temp\TeamViewer\Version4\TeamViewer.exe --qsc --pw "aGVscA=="
%TEMP%\svhost.exe
%TEMP%\setup.exe

Запускает на исполнение:

<SYSTEM32>\regsvr32.exe /s "<SYSTEM32>\gopxskgujscvvlhfy.dll"

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
%APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\A8FABA189DB7D25FBA7CAC806625FD30
%TEMP%\ap1F6FD.tmp
%HOMEPATH%\temp\TeamViewer\Version4\TeamViewer.ini
%TEMP%\nslA.tmp\Base64.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\nsi_install[1].php
%APPDATA%\Microsoft\CryptnetUrlCache\Content\A8FABA189DB7D25FBA7CAC806625FD30
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\soundonair[1].htm
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\3e805153-300b-4a2e-8952-c5968f60edab
%APPDATA%\TeamViewer\TeamViewer4_Logfile.log
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\wpad[1].dat
%HOMEPATH%\temp\TeamViewer\Version4\logo.bmp
%HOMEPATH%\temp\TeamViewer\Version4\TeamViewer_.exe
%TEMP%\nso7.tmp.dll
%TEMP%\nsp9.tmp
%TEMP%\nsp5.tmp\System.dll
%TEMP%\setup.exe
%TEMP%\svhost.exe
%TEMP%\nsf4.tmp
%TEMP%\nslA.tmp\TvGetVersion.dll
%HOMEPATH%\temp\TeamViewer\Version4\SAS.exe
%HOMEPATH%\temp\TeamViewer\Version4\TV.dll
%HOMEPATH%\temp\TeamViewer\Version4\TeamViewer_resource_en.dll
%HOMEPATH%\temp\TeamViewer\Version4\TeamViewer_Service.exe
%TEMP%\nslA.tmp\System.dll
<SYSTEM32>\manvndnfeklnyfns.exe
%HOMEPATH%\temp\TeamViewer\Version4\TeamViewer.exe

Удаляет следующие файлы:

%TEMP%\nslA.tmp\System.dll
%TEMP%\nslA.tmp\TvGetVersion.dll
%HOMEPATH%\temp\TeamViewer\Version4\logo.bmp
%TEMP%\nslA.tmp\Base64.dll
%TEMP%\setup.exe
%TEMP%\ap1F6FD.tmp
%TEMP%\nsp5.tmp\System.dll

Сетевая активность:

Подключается к:

'ma####.dyngate.com':80
'ma#####3.teamviewer.com':80
'pi###.dyngate.com':80
'so###onair.net':80
'localhost':1062
'ma#####.teamviewer.com':80
'wp#d':80
'ca###itan.net':80
'localhost':1035
'pi###.dyngate.com':5938
'cs######4-crl.verisign.com':80
'crl.verisign.com':80

TCP:

Запросы HTTP GET:

ma####.dyngate.com/din.aspx?s=####################################################
ma#####3.teamviewer.com/din.aspx?s=####################################################
pi###.dyngate.com/din.aspx?s=###################################################
ma#####.teamviewer.com/din.aspx?s=####################################################
pi###.dyngate.com/din.aspx?s=####################################################
wp#d/wpad.dat
ca###itan.net/bc/nsi_install.php?in################################################################################
cs######4-crl.verisign.com/CSC3-2004.crl
crl.verisign.com/pca3.crl

UDP: