Trojan.DownLoader6.64255

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,"%WINDIR%\server.exe",'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'server' = '%WINDIR%\server.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "%WINDIR%\server.exe"'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{05I41M56-QW07-U20F-YX8T-VB4U6TP4UX63}] 'StubPath' = '"%WINDIR%\server.exe"'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Создает и запускает на исполнение:

%TEMP%\SrDrTempDir\dpinst.exe /C /SW /SA /D /LM /PATH "%TEMP%\SrDrTempDir\UAA_X86"
%WINDIR%\server.exe \melt "%TEMP%\ServerPack.exe"
%TEMP%\ServerPack.exe
%TEMP%\srdriver.exe

Запускает на исполнение:

<SYSTEM32>\cmd.exe /c %TEMP%\SrDrTempDir\GetiDr.bat

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\SrDrTempDir\copyinfo.gif
%TEMP%\SrDrTempDir\SelectBg.gif
%TEMP%\SrDrTempDir\infobg.gif
%TEMP%\SrDrTempDir\closebutton.gif
%TEMP%\SrDrTempDir\ViewInfo.gif
%TEMP%\SrDrTempDir\leftbut.gif
%TEMP%\SrDrTempDir\rightbut.gif
%TEMP%\SrDrTempDir\close.gif
%TEMP%\SrDrTempDir\smallbg.gif
%TEMP%\SrDrTempDir\but4.gif
%TEMP%\SrDrTempDir\SmallStay.png
%TEMP%\SrDrTempDir\Bigbtn_1.png
%TEMP%\SrDrTempDir\SmallDown.png
%TEMP%\SrDrTempDir\SmallHot.png
%TEMP%\SrDrTempDir\Bigbtn_2.png
%TEMP%\SrDrTempDir\but2.gif
%TEMP%\SrDrTempDir\but3.gif
%TEMP%\SrDrTempDir\Bigbtn_3.png
%TEMP%\SrDrTempDir\but1.gif
%TEMP%\SrDrTempDir\yy.jpg
<SYSTEM32>\DRVSTORE\hdaudbus_36C11C9C078D28FC1F2765DA32287F64BDA642E1\hdaudbus.cat
%WINDIR%\server.exe
%WINDIR%\DPINST.LOG
<SYSTEM32>\DRVSTORE\hdaudbus_36C11C9C078D28FC1F2765DA32287F64BDA642E1\hdaudbus.inf
<SYSTEM32>\DRVSTORE\hdaudbus_36C11C9C078D28FC1F2765DA32287F64BDA642E1\hdaudbus.sys
%TEMP%\log.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\driver[1].html
%WINDIR%\inf\oem3.inf
%WINDIR%\inf\oem3.PNF
%TEMP%\SrDrTempDir\GetiDr.bat
%TEMP%\SrDrTempDir\line.jpg
%TEMP%\SrDrTempDir\UAA_X86.zip
%TEMP%\SrDrTempDir\title.jpg
%TEMP%\SrDrTempDir\table_BG.jpg
%TEMP%\SrDrTempDir\UAA_AMD64.zip
%TEMP%\SrDrTempDir\UAA_X86\hdaudbus.sys
%TEMP%\SrDrTempDir\dpinst.exe
%TEMP%\SrDrTempDir\UAA_X86\hdaudbus.cat
%TEMP%\SrDrTempDir\UAA_X86\hdaudbus.inf
%TEMP%\SrDrTempDir\srDriverxiaend.html
%TEMP%\SrDrTempDir\srDriverCHead.html
%TEMP%\SrDrTempDir\srDriverAngelHtmlEnd.html
%TEMP%\SrDrTempDir\srDriverxiabegin.html
%TEMP%\SrDrTempDir\srDriverCEnd.html
%TEMP%\SrDrTempDir\Audiopic.gif
%TEMP%\SrDrTempDir\Videopic.gif
%TEMP%\SrDrTempDir\Boardpic.gif
%TEMP%\SrDrTempDir\Netpic.gif
%TEMP%\SrDrTempDir\srDriverAngelHtmlBody.html
%TEMP%\2.png
%TEMP%\3.png
%TEMP%\ServerPack.exe
%TEMP%\srdriver.exe
%TEMP%\4.png
%TEMP%\7.png
%TEMP%\SrDrTempDir\srDriverAngelHtmlHead.html
%TEMP%\5.png
%TEMP%\6.png
%TEMP%\SrDrTempDir\Usbpic.gif
%TEMP%\SrDrTempDir\ico9.png
%TEMP%\SrDrTempDir\ico10.png
%TEMP%\SrDrTempDir\ico7.png
%TEMP%\SrDrTempDir\ico8.png
%TEMP%\SrDrTempDir\tab_1.png
%TEMP%\SrDrTempDir\MBigHot.png
%TEMP%\SrDrTempDir\MBigStay.png
%TEMP%\SrDrTempDir\tab_2.png
%TEMP%\SrDrTempDir\MBigDown.png
%TEMP%\SrDrTempDir\ico6.png
%TEMP%\SrDrTempDir\SrIoRead.dll
%TEMP%\SrDrTempDir\SrIoRead.sys
%TEMP%\SrDrTempDir\Otherpic.gif
%TEMP%\SrDrTempDir\Officepic.gif
%TEMP%\SrDrTempDir\ico1.png
%TEMP%\SrDrTempDir\ico4.png
%TEMP%\SrDrTempDir\ico5.png
%TEMP%\SrDrTempDir\ico2.png
%TEMP%\SrDrTempDir\ico3.png