Trojan.DownLoader7.5894

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Messenger' = '%WINDIR%\messenger\messenger.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'JSsetup' = '%WINDIR%\system\jssetup\JSsetup.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'yyile.dll'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'csiddll'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\Shortcut to startup_local.lnk

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\diuoqt] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\glniop] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\lqbzse.exe ins ins
%TEMP%\servie.exe
%TEMP%\syseter.exe
%TEMP%\explor.exe
%TEMP%\lqbzse.exe
%TEMP%\spools.exe
%TEMP%\lqbzse.exe ins
%TEMP%\svehost.exe

Запускает на исполнение:

<SYSTEM32>\sc.exe create glniop type= kernel binpath= "%PROGRAM_FILES%\Uninstall Information\{619eaead-3405-407a-0082-bf570ccb22d1}\glniop.bin" start= auto
<SYSTEM32>\sc.exe start PolicyAgent
<SYSTEM32>\sc.exe create diuoqt type= kernel start= auto binpath= "%PROGRAM_FILES%\Uninstall Information\{619eaead-3405-407a-0082-bf570ccb22d1}\diuoqt.bin"
<SYSTEM32>\cmd.exe /c 375519961O57540.bat
<SYSTEM32>\regsvr32.exe /s <SYSTEM32>\taoba_1.dll
<SYSTEM32>\rundll32.exe ccy1493.dll , InstallMyDll
<SYSTEM32>\regsvr32.exe /s <SYSTEM32>\yyile.dll
<SYSTEM32>\regsvr32.exe /s "%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll"
<SYSTEM32>\sc.exe stop PolicyAgent
<SYSTEM32>\reg.exe import c:\121.dat

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'RegMonClass' WindowName: ''
ClassName: 'FileMonClass' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\Windows.ime
<SYSTEM32>\s3s4312.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\az[1].php
%WINDIR%\srchasst\rna9309.lex
%PROGRAM_FILES%\temp.file
%PROGRAM_FILES%\Internet Explorer\IETimbar\vercfg.datu
%PROGRAM_FILES%\Internet Explorer\IETimbar\cfg.config
%TEMP%\tmp.tmp
%PROGRAM_FILES%\Internet Explorer\IETimbar\crpop.config
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\rd[1].dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\rankstat[1].htm
%PROGRAM_FILES%\Uninstall Information\{619eaead-3405-407a-0082-bf570ccb22d1}\diuoqt.bin
%WINDIR%\repair\nz4919
<SYSTEM32>\taoba_1.dll
%TEMP%\57540.aqq
%TEMP%\375519961O57540.bat
%WINDIR%\inf\az4252.PNF
%PROGRAM_FILES%\Uninstall Information\{619eaead-3405-407a-0082-bf570ccb22d1}\glniop.bin
%TEMP%\4.tmp
%WINDIR%\Temp\{de1ae336-3ecf-491b-00ba-0da7025e97e2}
%WINDIR%\Web\tqx7199
%WINDIR%\inf\wo9762.PNF
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\downloader_4005[1].gif
<SYSTEM32>\ccy1493.dll
%TEMP%\syseter.exe
<SYSTEM32>\dllcache\ccy1493.dll
%APPDATA%\d43sdf.dat
<SYSTEM32>\yyile.dll
%TEMP%\explor.exe
%TEMP%\spools.exe
%TEMP%\nss2.tmp
%TEMP%\lqbzse.exe
%TEMP%\servie.exe
%TEMP%\svehost.exe
<SYSTEM32>\temp.dll
%PROGRAM_FILES%\Internet Explorer\IETimbar\Uninstall.exe
%WINDIR%\system\mciseq.dll
C:\startup_locall.exe
C:\svchost.exe
C:\121.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\cfg.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll
%PROGRAM_FILES%\Internet Explorer\IETimbar\vercfg.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\crpop.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\httpf.dat

Удаляет следующие файлы:

%TEMP%\lqbzse.exe
%PROGRAM_FILES%\Uninstall Information\{619eaead-3405-407a-0082-bf570ccb22d1}\diuoqt.bin
%TEMP%\4.tmp
%TEMP%\spools.exe
%TEMP%\57540.aqq
%WINDIR%\Temp\{de1ae336-3ecf-491b-00ba-0da7025e97e2}
%PROGRAM_FILES%\Uninstall Information\{619eaead-3405-407a-0082-bf570ccb22d1}\glniop.bin
%TEMP%\tmp.tmp
C:\121.dat
%APPDATA%\d43sdf.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\rankstat[1].htm
%PROGRAM_FILES%\Internet Explorer\IETimbar\cfg.config
%PROGRAM_FILES%\Internet Explorer\IETimbar\httpf.dat.tmp

Перемещает следующие файлы:

%PROGRAM_FILES%\temp.file в %WINDIR%\messenger\messenger.exe

Сетевая активность:

Подключается к:

'up####.heishatu.cn':80
'vv.###tindex.com':80
'rp##.21civ.com':80
'localhost':1036
'ms#.#912345.com':80
'localhost':1041

TCP:

Запросы HTTP GET:

vv.###tindex.com/cgi-bin/rd.cgi?f=#############################################################################
rp##.21civ.com/az.php?o=###################################################
ms#.#912345.com/html/downloader_4005.gif
up####.heishatu.cn/adsys/rankstat.htm?In##########################################################################

UDP: