Trojan.DownLoader6.55992

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'Generic Host Process for WinXP Services' = 'mshelp.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Generic Host Process for WinXP Services' = 'mshelp.exe'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

<SYSTEM32>\pwp.exe -o <SYSTEM32>\pwp.l 127.0.0.1
%TEMP%\bata.bat
<SYSTEM32>\mshelp.exe
<SYSTEM32>\pwp.exe (загружен из сети Интернет)
%TEMP%\bata.bat (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\netsh.exe firewall set opmode disable

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtQuerySystemInformation, драйвер-обработчик: hidepr.sys

Скрывает следующие процессы:

<SYSTEM32>\mshelp.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\termsrv.5512.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\enablereg[1].1
<SYSTEM32>\Enable.reg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\term[1].1
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\descript1[3].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\soc[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\rdp[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\bat[1].1
<SYSTEM32>\descautoliv2.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\descliv[1].txt
<SYSTEM32>\descliv2.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\descautoliv2[1].txt
%TEMP%\bata.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pwp[1].1
<SYSTEM32>\pwp.exe
<SYSTEM32>\mqr.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\descript1[1].txt
<SYSTEM32>\descript.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\_2sys[1].php
<SYSTEM32>\hidepr.sys
<SYSTEM32>\mshelp.exe
<SYSTEM32>\sqla.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\descript1[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\descript1[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\descript1[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\descript1[3].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\descript1[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\descript1[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\descript1[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\descript1[2].txt