Trojan.DownLoader13.16478

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Exent_SDM' = '%TEMP%\SDM143\Free Ride Games.exe "l 'Startup' u 'http://www.freeridegames.com/spdo/feeds/sdmConfig?camp=%s&serviceId=143&g...

Изменения в файловой системе

Создает следующие файлы

%TEMP%\sdm143\000f9a91
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\tp44gn9f\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\gqdrdtwh\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\y34gsnkk\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\hbzayxip\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%low\temp\ietemp1.dat
%LOCALAPPDATA%\google\chrome\user data\default\local_cookies
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\index[1]
%TEMP%\sdm143\sdm_db_143.xml
%TEMP%\sdm143\sdmlog.log
%TEMP%\_uninsep.bat
%TEMP%\sdm143\resourcedll.dll
%TEMP%\sdm143\free ride games.exe
%TEMP%\sdm143\exentctlinstaller.dll
%TEMP%\sdm143\cmhelper.exe
%LOCALAPPDATA%\google\chrome\user data\default\local_cookies-journal
%APPDATA%\microsoft\windows\cookies\low\user@www.freeridegames[1].txt

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\hbzayxip\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\y34gsnkk\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\gqdrdtwh\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\tp44gn9f\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

Подменяет следующие файлы

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://www.fr####degames.com/spdo/feeds/sdmConfig?ca############################################
http://im#.#xent.com/free/frg/products/830850/boxshot.jpg

Запросы HTTP POST

http://www.fr####degames.com/opTools/clientTracking.jsp?tr###################################################################################################################################
http://www.fr####degames.com/opTools/clientTracking.jsp?tr#######################################################################################################################################...

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\sdm143\free ride games.exe' "u 'http://www.fr####degames.com/spdo/feeds/sdmConfig?ca############################## p '143' c '830850' m 'cnet_exentium' l 'Installer'"
'%TEMP%\sdm143\cmhelper.exe'
'%TEMP%\sdm143\free ride games.exe' "u 'http://www.fr####degames.com/spdo/feeds/sdmConfig?ca############################## p '143' c '830850' m 'cnet_exentium' l 'Installer'"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\_uninsep.bat" "' (со скрытым окном)

Запускает на исполнение