Trojan.DownLoader6.62014

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

Внедряет код в

следующие системные процессы:

следующие пользовательские процессы:

Ищет следующие окна с целью

обхода различных антивирусов:

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1209' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1208' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\nnno\aaab.dll
%PROGRAM_FILES%\nnno\iiij.ini
%PROGRAM_FILES%\nnno\xxxy.dll
%PROGRAM_FILES%\nnno\tttu.dll
%PROGRAM_FILES%\nnno\fffg.dll
%PROGRAM_FILES%\nnno\cccd.dll
%WINDIR%\inf\dev06.inf
%PROGRAM_FILES%\nnno\mmmn.ini
%HOMEPATH%\Favorites\flash¶Ї»Нш.url
%HOMEPATH%\Favorites\Ё~№ЙЖ±С§П°Нш_РйРДС§П°Ц®Ё~.url
%HOMEPATH%\Favorites\Ё{ЁЁ}Ё~Гв·СCSЧч±ЧЖчЁ~Ё}.url
%PROGRAM_FILES%\nnno\ddde.lex
<SYSTEM32>\d3d1caps.SRG
%WINDIR%\D.tmp
%ALLUSERSPROFILE%\Application Data\Microsoft\PCTools\pctools.dll
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\newup2[1].txt
<SYSTEM32>\config.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\config[1].php
%PROGRAM_FILES%\nnno\rrrs.ini
%WINDIR%\Temp\~DF0E9B.tmp
<SYSTEM32>\mprmsgse.axz
%TEMP%\nsp11.tmp\System.dll
%TEMP%\tempaq
%TEMP%\7801.exe
<SYSTEM32>\winlib .dll
%TEMP%\nss4.tmp
%TEMP%\78.exe
%TEMP%\ha_80011.exe
%TEMP%\nsi6.tmp
%TEMP%\SkypeClient.exe
%TEMP%\tongji.exe
%TEMP%\msn001.exe
%TEMP%\SkypeCliente.exe
%TEMP%\nsd2.tmp
%TEMP%\g24.exe
%TEMP%\ad_2501.exe
%TEMP%\ColorPix.exe
%TEMP%\nsd7.tmp\System.dll
%WINDIR%\inf\mscomfixs.exe
%TEMP%\nswC.tmp\System.dll
<SYSTEM32>\67-105-7163
<DRIVERS>\acpidisk.sys
%TEMP%\acpidisk.sys
%TEMP%\DoSSSetup.dll
<SYSTEM32>\inf\an.exe
<SYSTEM32>\inf\mscomfixs.exe
%TEMP%\43.exe
%TEMP%\InsShell.exe
<SYSTEM32>\donm.dll
%TEMP%\nsaA.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Перемещает следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

a.##ff.cn/config.php
so##.16990.com/newup2.txt
gs.###system.com/gs.php?12##########################################################################################################################################
www.ya###550.com/image/logo.jpg?qu###########
88#.#43call.cn/pw.ini

UDP: