Trojan.DownLoader34.21971

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'JiSuSearch' = '%APPDATA%\JiSuSearch\FileSearcherUpdate.exe -autocheck'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\js_update

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7z.dll
%TEMP%\dqh_qer.exe
%TEMP%\funaccesetupfiles\funacce\seedicon.ico
%TEMP%\funaccesetupfiles\funacce\acceclient.exe
%TEMP%\funaccesetupfiles\funacce\uninst.exe
%TEMP%\funaccesetupfiles\funacce\风行视频加速器.exe
%TEMP%\funaccesetupfiles\funacce\aptnail.dll
%TEMP%\funaccesetupfiles\funacce\dicengjiasu.dll
%TEMP%\funaccesetupfiles\funacce\dicengjiasu64.dll
%TEMP%\funaccesetupfiles\funacce\fireman.dll
%TEMP%\funaccesetupfiles\funacce\funaccelerator.dll
%TEMP%\funaccesetupfiles\funacce\funaccelerator64.dll
%TEMP%\funaccesetupfiles\funacce\fundodge.dll
%TEMP%\funaccesetupfiles\funacce\funworks.dll
%TEMP%\funaccesetupfiles\funacce\funworks64.dll
%TEMP%\funaccesetupfiles\funacce\gma.dll
%TEMP%\funaccesetupfiles\funacce\aenvclear.daw
%TEMP%\funaccesetupfiles\funacce\sfunworks.daw
%TEMP%\funaccesetupfiles\funacce\ssdodge.daw
%TEMP%\huyaclientinstall252.exe
%TEMP%\nsvc5a4.tmp
%TEMP%\nsbc613.tmp\system.dll
%APPDATA%\qz\config.ini
%TEMP%\nsbc613.tmp\findprocdll.dll
%APPDATA%\qz\dqh_qerd.exe
%APPDATA%\qz\config.dll
%APPDATA%\qz\uninst.exe
%HOMEPATH%\desktop\Г¦ГџГµВЅ.lnk
%TEMP%\funaccesetupfiles\setupfiles.7z
%APPDATA%\microsoft\windows\start menu\programs\37ГіГ®ГЇВ·Г¶Г°Г°Г¤\Г¦ГџГµВЅ\Г¦ГџГµВЅ.lnk
%TEMP%\fmpskin\configuration\installerdefault.skin
%APPDATA%\jisusearch\everything.ini
%TEMP%\jssb2cc.tmp
%APPDATA%\jisusearch\bin\fsflplus.bin
%APPDATA%\jisusearch\bin\fshelp.bin
%APPDATA%\jisusearch\bin\fsrichmtip.bin
%TEMP%\jssb9b3.tmp
%APPDATA%\dmopell\dbgks\do.bat
%APPDATA%\jisusearch\bin\fssndh.bin
%APPDATA%\jisusearch\bin\fstip.bin
%APPDATA%\dmopell\dbgks\dbg.dll
%APPDATA%\dmopell\dbgks\dbgx64.dll
%APPDATA%\jisusearch\bin\fsuptip.bin
%APPDATA%\jisusearch\config.ini
%APPDATA%\jisusearch\license\everything license.txt
%APPDATA%\jisusearch\license\soui license.txt
%APPDATA%\jisusearch\main.ico
%APPDATA%\jisusearch\7z.dll
%APPDATA%\jisusearch\everything32.dll
%APPDATA%\jisusearch\filesearcher.exe
%TEMP%\jexd886.exe
%APPDATA%\jisusearch\filesearcherupdate.exe
%APPDATA%\jisusearch\js_engine.exe
%APPDATA%\jisusearch\uinst000.exe
%APPDATA%\jisusearch\unist.xml
%TEMP%\swd82.tmp
%APPDATA%\swebhelp\contextmenu.dll
%APPDATA%\swebhelp\contextmenu_64.dll
%TEMP%\funinstaller_ps_0107005.exe
%TEMP%\fmpskin\configuration.7z
%APPDATA%\microsoft\windows\start menu\programs\37ГіГ®ГЇВ·Г¶Г°Г°Г¤\Г¦ГџГµВЅ\Г°В¶ГґГёГ¦ГџГµВЅ.lnk

Удаляет следующие файлы

<SYSTEM32>\tasks\js_update

Сетевая активность

TCP

Запросы HTTP GET

http://gr#####uit.ppsrk.com/search/search.ini
http://re####.search.ppsrk.com/api/tempip.ashx?ac###############################
http://gs###.jfcpt.com/Install/gxsdslftte.exe
http://at##.##nder.jfcpt.com/pinforesults.do?sc###################################################################################################
http://ex####.search.ppsrk.com/extreme?sc########################################################################################################################################################...
http://do#####ds.funshion.net/tools/cloudinstall_signature/7005/FunInstaller_PS_0107005.exe
http://d.###youxi7.com/yx/qz/wd_37cs/923887/dqh_qer.exe
http://do####ad.huya.com/huyapc/install/HuyaClientInstall252.exe

UDP

DNS ASK gr#####uit.ppsrk.com
DNS ASK ba##u.com
DNS ASK re####.search.ppsrk.com
DNS ASK gs###.jfcpt.com
DNS ASK at##.##nder.jfcpt.com
DNS ASK do#####ds.funshion.net
DNS ASK ex####.search.ppsrk.com
DNS ASK d.###youxi7.com
DNS ASK do####ad.huya.com

Другое

Ищет следующие окна

ClassName: 'EVERYTHING_TASKBAR_NOTIFICATION' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\jexd886.exe'
'%APPDATA%\jisusearch\filesearcherupdate.exe' -autocheck
'%APPDATA%\qz\dqh_qerd.exe' /setupsucc
'%APPDATA%\jisusearch\filesearcher.exe' /s
'%APPDATA%\jisusearch\filesearcher.exe' -reg
'%APPDATA%\jisusearch\js_engine.exe' -startup
'%TEMP%\huyaclientinstall252.exe'
'%TEMP%\funinstaller_ps_0107005.exe'
'%TEMP%\dqh_qer.exe'
'%TEMP%\funinstaller_ps_0107005.exe' ' (со скрытым окном)
'%APPDATA%\jisusearch\filesearcherupdate.exe' -autocheck' (со скрытым окном)
'%TEMP%\dqh_qer.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\DMOPELL\dbgks\do.bat" "' (со скрытым окном)
'%TEMP%\jexd886.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' /s "%APPDATA%\SWebHelp\ContextMenu_64.dll"' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' /s /u "%APPDATA%\SWebHelp\ContextMenu_64.dll"' (со скрытым окном)
'%APPDATA%\jisusearch\js_engine.exe' -startup' (со скрытым окном)
'%APPDATA%\jisusearch\filesearcher.exe' -reg' (со скрытым окном)
'%TEMP%\huyaclientinstall252.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\DMOPELL\dbgks\do.bat" "
'%WINDIR%\syswow64\rundll32.exe' "%APPDATA%\DMOPELL\dbgks\dbg.dll",f3d1bc30e00c49d3833afd922db2d43d
'%WINDIR%\syswow64\rundll32.exe' "%APPDATA%\DMOPELL\dbgks\dbgx64.dll",f3d1bc30e00c49d3833afd922db2d43d
'<SYSTEM32>\rundll32.exe' "%APPDATA%\DMOPELL\dbgks\dbgx64.dll",f3d1bc30e00c49d3833afd922db2d43d
'%WINDIR%\syswow64\regsvr32.exe' /s /u "%APPDATA%\SWebHelp\ContextMenu_64.dll"
'<SYSTEM32>\regsvr32.exe' /s /u "%APPDATA%\SWebHelp\ContextMenu_64.dll"
'%WINDIR%\syswow64\regsvr32.exe' /s "%APPDATA%\SWebHelp\ContextMenu_64.dll"
'<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\SWebHelp\ContextMenu_64.dll"