Trojan.DownLoader32.65352

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\windows update scheduler

Вредоносные функции

Загружает и запускает на исполнение

http://www.dr##box.com/s/yds33i3cg46gtud/tvnserver.exe?dl## как %appdata%\microsoft\security\securitysvc.exe
http://www.dr##box.com/s/4s9kt293bz6du7i/screenhooks32.dll?dl## как %appdata%\microsoft\security\screenhooks32.dll
http://www.dr##box.com/s/7222fgnghhx4kj0/msiservice.exe?dl## как %appdata%\microsoft\common\msiservice.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\coco.bat
%APPDATA%\microsoft\security\securitysvc.exe
%APPDATA%\microsoft\security\screenhooks32.dll
%APPDATA%\microsoft\common\msiservice.exe

Сетевая активность

Подключается к

'uc#############b4e8927647f00.dl.dropboxusercontent.com':443

TCP

Запросы HTTP GET

http://www.dr##box.com/s/yds33i3cg46gtud/tvnserver.exe?dl##
http://www.dr##box.com/s/4s9kt293bz6du7i/screenhooks32.dll?dl##
http://www.dr##box.com/s/7222fgnghhx4kj0/msiservice.exe?dl##

'dr##box.com':443

'uc#############ad4bf2347ef4c.dl.dropboxusercontent.com':443

UDP

DNS ASK dr##box.com
DNS ASK uc#############ad4bf2347ef4c.dl.dropboxusercontent.com
DNS ASK uc#############89546622e7392.dl.dropboxusercontent.com
DNS ASK uc#############b4e8927647f00.dl.dropboxusercontent.com

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\coco.bat" "' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\coco.bat" "
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v GrabTransparentWindows /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v VideoRecognitionInterval /t REG_DWORD /d 3000
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v AllowLoopback /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v PollingInterval /t REG_DWORD /d 1000
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v DisconnectClients /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v NeverShared /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v AlwaysShared /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v EnableUrlParams /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v UseMirrorDriver /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v RemoveWallpaper /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v EnableFileTransfers /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v LogLevel /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v AcceptHttpConnections /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v LoopbackOnly /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v SaveLogToAllUsersPath /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v RepeatControlAuthentication /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v UseVncAuthentication /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v AcceptRfbConnections /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v DisconnectAction /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v HttpPort /t REG_DWORD /d 5800
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v RfbPort /t REG_DWORD /d 5900
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v BlockLocalInput /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v BlockRemoteInput /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v LocalInputPriority /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v LocalInputPriorityTimeout /t REG_DWORD /d 3
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v QueryAcceptOnTimeout /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v QueryTimeout /t REG_DWORD /d 30
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server
'<SYSTEM32>\reg.exe' delete HKCU\Software\TightVNC\Server /f
'<SYSTEM32>\schtasks.exe' /create /F /sc minute /mo 1 /tn "Windows Update Scheduler" /tr "%APPDATA%\microsoft\common\msiservice.exe lnrm5$+wu6j=vogu"
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v UseControlAuthentication /t REG_DWORD /d 0
'<SYSTEM32>\reg.exe' add HKCU\Software\TightVNC\Server /v RunControlInterface /t REG_DWORD /d 0