Trojan.DownLoader6.21253

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe Updater' = 'C:\Temp\update.bat'

Вредоносные функции:

Создает и запускает на исполнение:

C:\Temp\b3cg31a.exe /NOCONSOLE gweav4ac.bat
C:\Temp\lua.exe C:\Temp\script.lua
C:\Temp\b3cg31a.exe (загружен из сети Интернет)
C:\Temp\lua.exe (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\reg.exe ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Adobe Updater" /t REG_SZ /d "C:\Temp\update.bat" /f
<SYSTEM32>\msiexec.exe /V
<SYSTEM32>\msiexec.exe /i C:\Temp\opencl.msi /quiet

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\numpy.lib._compiled_base[1].pyd
C:\Temp\numpy.fft.fftpack_lite.pyd
C:\Temp\numpy.lib._compiled_base.pyd
C:\Temp\numpy.linalg.lapack_lite.pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\numpy.linalg.lapack_lite[1].pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\numpy.fft.fftpack_lite[1].pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\numpy.core.scalarmath[1].pyd
C:\Temp\numpy.core.multiarray.pyd
C:\Temp\numpy.core.scalarmath.pyd
C:\Temp\numpy.core.umath.pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\numpy.core.umath[1].pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\numpy.random.mtrand[1].pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\svchost[1].exe
C:\Temp\rtg3qfdA.dll
C:\Temp\svchost.exe
C:\Temp\update.bat
C:\Temp\gweav4ac.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\rtg3qfdA[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\phatk[1].cl
C:\Temp\numpy.random.mtrand.pyd
C:\Temp\phatk.cl
C:\Temp\pyopencl._cl.pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\pyopencl._cl[1].pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\numpy.core.multiarray[1].pyd
C:\Temp\script.lua
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\script[1].lua
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\socketLcore[1].dll
C:\Temp\1.bat
C:\Temp\socketLcore.dll
C:\Temp\lua5.1.dll
C:\Temp\lfs.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lfs[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\lua[1].exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\lua5.1[1].dll
C:\Temp\lua.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\opencl[1].msi
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\naRy18t[1].zip
C:\Temp\bd5E9A1Ce3Af34wASf3As33gA.dll
C:\Temp\naRy18t.zip
C:\Temp\numpy.core._sort.pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\numpy.core._sort[1].pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bd5E9A1Ce3Af34wASf3As33gA[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\b3cg31a[1].exe
C:\Temp\opencl.msi
C:\Temp\b3cg31a.exe
C:\Temp\_socket.pyd
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\_socket[1].pyd