Trojan.DownLoader33.15129

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\62EECB95] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\62EECB95] 'ImagePath' = '<SYSTEM32>\svchost.exe -k LocalService'
[<HKLM>\SYSTEM\ControlSet001\services\62EECB95] 'ImagePath' = '<SYSTEM32>\svchost.exe -k LocalService�'
[<HKLM>\SYSTEM\ControlSet001\services\62EECB95\Parameters] 'ServiceDll' = '%PROGRAMDATA%\62EECB95\E09019D7.dll�'
[<HKLM>\SYSTEM\ControlSet001\services\62EECB95] 'Start' = '00000002'

Вредоносные функции

Внедряет код в

следующие системные процессы:

следующие пользовательские процессы:

Перехватывает функции

в браузерах

Завершает или пытается завершить

следующие системные процессы:

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\bolo.com
%WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%TEMP%\1102984.tmp-shm
%TEMP%\1102921.tmp-shm
%TEMP%\1102562.tmp-shm
%TEMP%\1102328.tmp-shm
%TEMP%\1101953.tmp-shm
%PROGRAMDATA%\62eecb95\fcf06e69
%PROGRAMDATA%\62eecb95\7b24aa59\94c5b3c8b9bd917fb403b7652d15cfa7
%WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\cookies\low\index.dat
%PROGRAMDATA%\62eecb95\e09019d7.dll
%PROGRAMDATA%\62eecb95\00d7ec67
%APPDATA%\smss.dll
nul
%APPDATA%\treaz
%APPDATA%\smss.com
%TEMP%\nsr2468.tmp\nsexec.dll
%APPDATA%\lsm.com
%APPDATA%\kdgwy.com
%PROGRAMDATA%\62eecb95\dac2c24b.dll
%WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

Удаляет следующие файлы

Подменяет следующие файлы

Сетевая активность

TCP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%APPDATA%\smss.com' treaz
'%APPDATA%\smss.com'
'%WINDIR%\syswow64\cmd.exe' /c <nul set /p ="M" > smss.com & type lsm.com >> smss.com & del lsm.com & certutil -decode bolo.com treaz & smss.com treaz & ping 127.0.0.1 -n 3 > nul & del bolo.com & del treaz' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' -s %APPDATA%\smss.dll f1 %APPDATA%\smss.com@2320' (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' %APPDATA%\smss.dll,f0' (со скрытым окном)
'%WINDIR%\syswow64\rundll32.exe' %ProgramFiles%\62EECB95\E09019D7.dll,f1 %APPDATA%\smss.dll@2396' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c <nul set /p ="M" > smss.com & type lsm.com >> smss.com & del lsm.com & certutil -decode bolo.com treaz & smss.com treaz & ping 127.0.0.1 -n 3 > nul & del bolo.com & del treaz
'%WINDIR%\syswow64\certutil.exe' -decode bolo.com treaz
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
'%WINDIR%\syswow64\regsvr32.exe' -s %APPDATA%\smss.dll f1 %APPDATA%\smss.com@2320
'%WINDIR%\syswow64\rundll32.exe' %APPDATA%\smss.dll,f0
'%WINDIR%\syswow64\rundll32.exe' %ProgramFiles%\62EECB95\E09019D7.dll,f1 %APPDATA%\smss.dll@2396
'<SYSTEM32>\rundll32.exe' %ProgramFiles%\62EECB95\E09019D7.dll,f1 %APPDATA%\smss.dll@2396
'<SYSTEM32>\rundll32.exe' %PROGRAMDATA%\62EECB95\E09019D7.dll,f2 1FCAAAC36182D72B5B244331A7421701
'<SYSTEM32>\svchost.exe' -k LocalService
'%WINDIR%\syswow64\rundll32.exe' %PROGRAMDATA%\62EECB95\DAC2C24B.dll,f3
'%WINDIR%\syswow64\rundll32.exe' %PROGRAMDATA%\62EECB95\DAC2C24B.dll,f7
'%WINDIR%\syswow64\rundll32.exe' %PROGRAMDATA%\62EECB95\DAC2C24B.dll,f2 E48E292D52AA1264BCBA6B30A9CB2113
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\wininet.dll",DispatchAPICall 1