Trojan.DownLoader33.54663

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\bittorrent\shell\open\command] '' = '"%TEMP%\Thunder\thunder.exe" /openfile "%1"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsv1f62.tmp
%TEMP%\thunder\program\down_dispatcher.dll
%TEMP%\thunder\program\download-complete.wav
%TEMP%\thunder\program\download_engine.dll
%TEMP%\thunder\program\download_interface.dll
%TEMP%\thunder\program\download_interface_new.dll
%TEMP%\thunder\program\emule_kernel.dll
%TEMP%\thunder\program\emule_shell.dll
%TEMP%\thunder\program\fs.dll
%TEMP%\thunder\program\itargetad.dll
%TEMP%\thunder\program\minizip.dll
%TEMP%\thunder\program\mp.dll
%TEMP%\thunder\program\dl_peer_id.dll
%TEMP%\thunder\program\dl_uac_tool.dll
%TEMP%\thunder\program\msvcp71.dll
%TEMP%\thunder\program\p2p_local_res.dll
%TEMP%\thunder\program\p2p_upload.dll
%TEMP%\thunder\program\p2sp.dll
%TEMP%\thunder\program\ptl.dll
%TEMP%\thunder\program\tp_proxy.dll
%TEMP%\thunder\program\ts.dll
%TEMP%\thunder\program\zlib1.dll
%TEMP%\thunder\comdlls\xunleibho_now.dll
%TEMP%\thunder\comdlls\thunderagent_now.dll
%TEMP%\thunder\profiles\ayuconfig.ini
%TEMP%\thunder\profiles\history6.dat.rescue
%TEMP%\thunder\program\msvcr71.dll
%TEMP%\thunder\program\p2p.dll
%TEMP%\thunder\program\bt_shell.dll
%TEMP%\thunder\program\bt_kernel.dll
%TEMP%\thunder\program\backend_agent.dll
%TEMP%\thunder\thunder.exe
%TEMP%\thunder\comdlls\thunderagent.dll
%TEMP%\thunder\comdlls\thunderagent7.dll
%TEMP%\thunder\comdlls\urix.dll
%TEMP%\thunder\comdlls\xunleibho.dll
%TEMP%\thunder\comdlls\getallurl.htm
%TEMP%\thunder\comdlls\geturl.htm
%TEMP%\thunder\components\community\xlcommunity.dll
%TEMP%\thunder\profiles\personal.ini
%TEMP%\thunder\profiles\userconfig.ini
%TEMP%\thunder\profiles\history6.dat
%TEMP%\thunder\program\bhostub.dll
%TEMP%\thunder\reg.bat
%TEMP%\thunder\program\bugreport.dll
%TEMP%\thunder\program\magnetex.exe
%TEMP%\thunder\program\registerdll.dll
%TEMP%\thunder\program\taskmanager.dll
%TEMP%\thunder\program\thunder5.exe
%TEMP%\thunder\program\thunderex.dll
%TEMP%\thunder\program\thunderplatform.exe
%TEMP%\thunder\program\thunder_cfg.ini
%TEMP%\thunder\program\uactool.dll
%TEMP%\thunder\program\xlcrypto.dll
%TEMP%\thunder\program\xlnetu.dll
%TEMP%\thunder\program\asyn_frame.dll
%TEMP%\thunder\program\atl71.dll
%TEMP%\thunder\program\ftpexplorer.exe
C:\users\public\thunder network\downloadlib\profiles\program\asyn_frame.dat
C:\users\public\thunder network\downloadlib\profiles\cryptkey.dat

Удаляет следующие файлы

%TEMP%\thunder\reg.bat

Сетевая активность

Подключается к

'hu####t.sandai.net':80
'hu###.sandai.net':80

TCP

Запросы HTTP GET

http://ay#.##nleihd.com/thunder/update

Запросы HTTP POST

http://47.##.194.216:80/
http://10#.##.169.88:80/
http://14#.##6.225.136:80/

UDP

DNS ASK hu####c.sandai.net
DNS ASK hu####.sandai.net
DNS ASK hu###.sandai.net
DNS ASK im####pr.sandai.net
DNS ASK sc###.#hub.sandai.net
DNS ASK re###.#hub.sandai.net
DNS ASK hu#####ata.sandai.net
DNS ASK co##.sandai.net
DNS ASK ay#.##nleihd.com
DNS ASK hu####t.sandai.net
'hu####c.sandai.net':8000
'hu####.sandai.net':8000
'<LOCALNET>.60.1':1900
'23#.#55.255.250':1900
'hu###.sandai.net':8000

Другое

Создает и запускает на исполнение

'%TEMP%\thunder\thunder.exe'
'%TEMP%\thunder\program\thunder5.exe' /debc616
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Thunder\reg.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Thunder\reg.bat" "
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%TEMP%\thunder\program\thunder5....