Trojan.DownLoader6.51897

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SiteVacuum' = '%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -UpdateLinksToHost
<LS_APPDATA>\spamfighter_6_4_07.exe
%TEMP%\SF1346169335\Setup.exe /V"/l*v install.txt ALLUSERS=2 USER_PARTNER_IDENTITY=38 USER_SOURCE_DIRECTORY=\"%TEMP%\SF1346169335\\\""
%TEMP%\Stp3_TMP.EXE
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -RegServer
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -InstallFFXPCOM
<LS_APPDATA>\vlnet2.com_Installer.exe /S /s
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -AddSearchProvider
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -StartWithWindows
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe -SetDefaultSearch

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0804.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0405.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\_ISMSIDEL.INI
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0402.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0409.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x040b.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0406.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0413.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\Setup.INI
%TEMP%\SF1346169335\DE38.ini
%TEMP%\SF1346169335\DA38.ini
%TEMP%\SF1346169335\EN38.ini
%TEMP%\SF1346169335\EL38.ini
%TEMP%\SF1346169335\Setup.exe
%TEMP%\SF1346169335\post.exe
%TEMP%\SF1346169335\CS38.ini
%TEMP%\SF1346169335\BG38.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x040a.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x041d.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0816.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0419.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ConnectionAliveStaticCheck[1].htm
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ConnectionAliveStaticCheck[1].htm
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x041e.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0415.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0414.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x040c.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0407.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Activation[1].aspx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\PollingNotifications[1].aspx
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0410.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0411.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x0408.ini
%TEMP%\{2D79BD34-A406-4AAF-8226-09AA58645AD4}\0x040e.ini
%TEMP%\SF1346169335\ES38.ini
%PROGRAM_FILES%\EasySearch\ISiteVacuumXPCOM.xpt
%PROGRAM_FILES%\EasySearch\SiteVacuumXPCOM.dll
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.tlb
%PROGRAM_FILES%\EasySearch\UpdateHelper.exe
%PROGRAM_FILES%\EasySearch\FFExt\install.rdf
%PROGRAM_FILES%\EasySearch\FFExt\chrome\content\script-injector.js
%PROGRAM_FILES%\EasySearch\WSConfig.ini
%PROGRAM_FILES%\EasySearch\FFExt\chrome.manifest
%PROGRAM_FILES%\EasySearch\SiteVacuumClient.exe
<LS_APPDATA>\recfree2.exe
<LS_APPDATA>\spamfighter_6_4_07.exe
%TEMP%\bt82127.bat
<LS_APPDATA>\vlnet2.com_Installer.exe
%PROGRAM_FILES%\EasySearch\MFC42U.DLL
%PROGRAM_FILES%\EasySearch\SiteVacuumLicense.txt
%TEMP%\SearchProviderOptions.ini
%PROGRAM_FILES%\EasySearch\tskill.exe
%TEMP%\SF1346169335\NL38.ini
%TEMP%\SF1346169335\JA38.ini
%TEMP%\SF1346169335\PL38.ini
%TEMP%\SF1346169335\NO38.ini
%TEMP%\SF1346169335\FR38.ini
%TEMP%\SF1346169335\FI38.ini
%TEMP%\SF1346169335\IT38.ini
%TEMP%\SF1346169335\HU38.ini
%TEMP%\SF1346169335\PT38.ini
%TEMP%\Stp3_TMP.EXE
%TEMP%\SF1346169335\LogoSmall.bmp
%PROGRAM_FILES%\EasySearch\FFExt\chrome\content\sitevacuum.xul
%PROGRAM_FILES%\EasySearch\uninst.exe
%TEMP%\SF1346169335\SV38.ini
%TEMP%\SF1346169335\RU38.ini
%TEMP%\SF1346169335\ZH38.ini
%TEMP%\SF1346169335\TH38.ini

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\bt82127.bat

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ConnectionAliveStaticCheck[1].htm
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ConnectionAliveStaticCheck[1].htm

Сетевая активность:

Подключается к:

'localhost':1065
'localhost':1067
'localhost':1063
'localhost':1059
'localhost':1061
'localhost':1069
'localhost':1077
'localhost':1079
'localhost':1075
'localhost':1071
'localhost':1073
'localhost':1057
'localhost':1041
'localhost':1043
'localhost':1039
'localhost':1035
'ap#.##tevacuum.com':80
'localhost':1045
'localhost':1053
'localhost':1055
'localhost':1051
'localhost':1047
'localhost':1049

TCP:

Запросы HTTP GET:

ap#.##tevacuum.com/Panel/ConnectionAliveStaticCheck.htm
ap#.##tevacuum.com/Panel/PollingNotifications.aspx?WS############################
ap#.##tevacuum.com/Panel/Activation.aspx?WS############################

UDP: