Trojan.DownLoader7.15936

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svchost' = '<Полный путь к вирусу>'

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\p7rk[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\p7rk[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\p7rk[1].gif
%TEMP%\~temp0-2147447763.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ip[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\infec[1].php

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\p7rk[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\p7rk[1].gif
%TEMP%\~temp0-2147447763.tmp

Сетевая активность:

Подключается к:

'www.up####1.xpg.com.br':80
'www.up####2.xpg.com.br':80
'localhost':1041
'localhost':1035
'ps####.789mb.com':80
'localhost':1038

TCP:

Запросы HTTP GET:

www.up####1.xpg.com.br/p7rk.gif
www.up####2.xpg.com.br/p7rk.gif
ps####.789mb.com/ip.php
ps####.789mb.com/infec.php?np#################################################################################################################

UDP:

DNS ASK www.up####2.xpg.com.br
DNS ASK www.up####1.xpg.com.br
DNS ASK ps####.789mb.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Sempre consulte esta pagina para novas informacoes sobre seguranca - Mozilla Firefox'
ClassName: '' WindowName: 'Nao faca alteracao cadastral por e-mail - Mozilla Firefox'
ClassName: '' WindowName: 'Nao permita que outras pessoas conhecam os seus dados de acesso - Mozilla Firefox'
ClassName: '' WindowName: 'Nao enviamos e-mail sem a sua permissao - Mozilla Firefox'
ClassName: '' WindowName: 'Nao use atalhos em e-mail para acessar o site. Digite o endereco direto no navegador - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Evite que outras pessoas vejam voce digitar sua senha - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Memorize suas senhas sem anota-las - Mozilla Firefox'
ClassName: '' WindowName: 'Nao abra e-mail de origem desconhecida - Mozilla Firefox'
ClassName: '' WindowName: 'Note se no inicio do campo ""endereco"" surgem as letras ""https"" - Mozilla Firefox'
ClassName: '' WindowName: 'Escolha ""senhas"" diferentes do seu nascimento, CPF e n? sequenciais - Mozilla Firefox'
ClassName: '' WindowName: 'Nao use atalhos em e-mail para acessar o site. Digite o endereco direto no navegador - Mozilla Firefox'
ClassName: '' WindowName: 'Evite que outras pessoas vejam voce digitar sua senha - Mozilla Firefox'
ClassName: '' WindowName: 'Nao abra arquivos de origem desconhecida - Mozilla Firefox'
ClassName: '' WindowName: 'Verifique um pequeno cadeado fechado na parte inferior do navegador - Mozilla Firefox'
ClassName: '' WindowName: 'Evite abrir arquivos executaveis anexados as suas mensagens - Mozilla Firefox'
ClassName: '' WindowName: 'Cuidado com links e downloads contidos em mensagens promocionais - Mozilla Firefox'
ClassName: '' WindowName: 'Memorize suas senhas sem anota-las - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Nao abra e-mail de origem desconhecida - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Sempre consulte esta pagina para novas informacoes sobre seguranca - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Nao faca alteracao cadastral por e-mail - Microsoft Internet Explorer'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: '' WindowName: 'Evite abrir arquivos executaveis anexados as suas mensagens - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Cuidado com links e downloads contidos em mensagens promocionais - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Note se no inicio do campo ""endereco"" surgem as letras ""https"" - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Escolha ""senhas"" diferentes do seu nascimento, CPF e n? sequenciais - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Nao permita que outras pessoas conhecam os seus dados de acesso - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Nao enviamos e-mail sem a sua permissao - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Nao abra arquivos de origem desconhecida - Microsoft Internet Explorer'
ClassName: '' WindowName: 'Verifique um pequeno cadeado fechado na parte inferior do navegador - Microsoft Internet Explorer'