Trojan.DownLoader6.62815

Техническая информация

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '<SYSTEM32>\Youtube_Plugin.exe' = '<SYSTEM32>\Youtube_Plugin.exe:*:Enabled:Youtube Video Plug-in v2.4 '
[<HKLM>\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '<SYSTEM32>\Youtube_Plugin.exe' = '<SYSTEM32>\Youtube_Plugin.exe:*:Enabled:Youtube Video Plug-in v2.4 '
[<HKLM>\SYSTEM\ControlSet003\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '<SYSTEM32>\Youtube_Plugin.exe' = '<SYSTEM32>\Youtube_Plugin.exe:*:Enabled:Youtube Video Plug-in v2.4 '
[<HKLM>\SYSTEM\ControlSet003\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\Youtube_Plugin.exe' = '<SYSTEM32>\Youtube_Plugin.exe:*:Enabled:Youtube Video Plug-in v2.4 '
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\Anyplace Control 4\apc_host.exe' = '%PROGRAM_FILES%\Anyplace Control 4\apc_host.exe:*:Enabled:Anyplace Control - Host Module'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\Youtube_Plugin.exe' = '<SYSTEM32>\Youtube_Plugin.exe:*:Enabled:Youtube Video Plug-in v2.4 '
[<HKLM>\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\Youtube_Plugin.exe' = '<SYSTEM32>\Youtube_Plugin.exe:*:Enabled:Youtube Video Plug-in v2.4 '

Создает и запускает на исполнение:

<SYSTEM32>\Youtube_Plugin.exe
<SYSTEM32>\volser.exe

Запускает на исполнение:

%WINDIR%\regedit.exe -s "<SYSTEM32>\microsoft\mscooksq3.reg"
%WINDIR%\regedit.exe -s "<SYSTEM32>\microsoft\WindowsFirewallSecurity.reg"
%WINDIR%\regedit.exe -s "<SYSTEM32>\microsoft\mscooks4.reg"
%WINDIR%\regedit.exe -s "<SYSTEM32>\microsoft\mscooksq.reg"

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\volser.$$A
<SYSTEM32>\websitename.$$A
<SYSTEM32>\randomizewindows.$$A
<SYSTEM32>\gatewaysettings.$$A
<SYSTEM32>\MSINET.$$A
<SYSTEM32>\gatewaysettings.ini
<SYSTEM32>\hoststate.dat
<SYSTEM32>\apc-host.log
<SYSTEM32>\Youtube_Plugin.$$A
%PROGRAM_FILES%\MyProduct\Uninstal.exe
<SYSTEM32>\apc-settings.$$A
<SYSTEM32>\Microsoft\mscooksq3.$$A
<SYSTEM32>\Microsoft\WindowsFirewallSecurity.$$A
<SYSTEM32>\Microsoft\mscooksq.$$A
%PROGRAM_FILES%\MyProduct\Uninstal.$$A
<SYSTEM32>\Microsoft\mscooks4.$$A
<SYSTEM32>\apc_hostconfig.$$A
<SYSTEM32>\apc-host.$$A
<SYSTEM32>\anyplace-control.$$A
<SYSTEM32>\Microsoft\Protect\S-1-5-18\User\wansvc.$$A
<SYSTEM32>\Microsoft\Protect\S-1-5-18\User\WINRYSVC.$$A

Перемещает следующие файлы:

<SYSTEM32>\websitename.$$A в <SYSTEM32>\websitename.txt
<SYSTEM32>\Youtube_Plugin.$$A в <SYSTEM32>\Youtube_Plugin.exe
<SYSTEM32>\randomizewindows.$$A в <SYSTEM32>\randomizewindows.txt
<SYSTEM32>\volser.$$A в <SYSTEM32>\volser.exe
<SYSTEM32>\Microsoft\mscooks4.$$A в <SYSTEM32>\Microsoft\mscooks4.reg
<SYSTEM32>\Microsoft\WindowsFirewallSecurity.$$A в <SYSTEM32>\Microsoft\WindowsFirewallSecurity.reg
<SYSTEM32>\MSINET.$$A в <SYSTEM32>\MSINET.OCX
<SYSTEM32>\Microsoft\mscooksq.$$A в <SYSTEM32>\Microsoft\mscooksq.reg
<SYSTEM32>\Microsoft\mscooksq3.$$A в <SYSTEM32>\Microsoft\mscooksq3.reg
<SYSTEM32>\MSINET.$$A в <SYSTEM32>\MSINET.DEP
<SYSTEM32>\Microsoft\Protect\S-1-5-18\User\WINRYSVC.$$A в <SYSTEM32>\Microsoft\Protect\S-1-5-18\User\WINRYSVC.exe
<SYSTEM32>\anyplace-control.$$A в <SYSTEM32>\anyplace-control.ini
%PROGRAM_FILES%\MyProduct\Uninstal.$$A в %PROGRAM_FILES%\MyProduct\Uninstal.exe
<SYSTEM32>\Microsoft\Protect\S-1-5-18\User\wansvc.$$A в <SYSTEM32>\Microsoft\Protect\S-1-5-18\User\wansvc.exe
<SYSTEM32>\apc_hostconfig.$$A в <SYSTEM32>\apc_hostconfig.exe
<SYSTEM32>\gatewaysettings.$$A в <SYSTEM32>\gatewaysettings.ini
<SYSTEM32>\MSINET.$$A в <SYSTEM32>\MSINET.oca
<SYSTEM32>\apc-host.$$A в <SYSTEM32>\apc-host.log
<SYSTEM32>\apc-settings.$$A в <SYSTEM32>\apc-settings.ini