Trojan.DownLoader34.58929

Техническая информация

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:49177;https=127.0.0.1:49177;socks=127.0.0.1:49176'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<local>'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\main[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\don6vwqp\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1jxuf0oy\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\9ryevntr\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ks5s2txi\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%TEMP%\psiphon-url-proxy.exe
%APPDATA%\microsoft\windows\cookies\low\index.dat
%APPDATA%\psiphon3\url_proxy.config
%APPDATA%\psiphon3\psiphon.boltdb
%TEMP%\psiphon-tunnel-core.exe
%APPDATA%\psiphon3\server_list.dat
%APPDATA%\psiphon3\psiphon.config
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\flag_unknown_32[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\banner[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\flags32[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\logo-bw[1]
%TEMP%\data498.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\icomoon[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\logo[1]
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ks5s2txi\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\9ryevntr\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1jxuf0oy\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\don6vwqp\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Сетевая активность

TCP

Запросы HTTP POST

http://www.su######nkboyservice.com/
http://www.dy###atcwft.com/
http://www.ed####tosgood.com/
http://15#.#03.36.50/
http://www.sp###oldala.com/
http://www.sg######nnerstormsms.com/
http://www.su####areermoto.com/
http://17#.#8.73.185/
http://www.id####htutorad.com/
http://www.bi#####htchannel.com/
http://www.za#####inglakegt.com/
http://www.st####modeyi.com/

'46.##1.121.119':22

'10#.#6.75.71':443

'pr##.###bal.ssl.fastly.net':443

'10#.#6.72.71':443

'10#.#6.71.71':443

'17#.#9.162.150':22

'15#.#03.36.50':53

'le###web.com':443

'21#.#71.206.27':22

'15#.#03.36.49':53

'10#.#6.73.71':443

UDP

DNS ASK a2##.#.akamai.net
DNS ASK le###web.com
DNS ASK a1###.b.akamai.net
DNS ASK pr##.###bal.ssl.fastly.net
DNS ASK te#.com
DNS ASK a7##.#d.akamai.net
DNS ASK a3##.#a.akamai.net
DNS ASK a1###.g.akamai.net
DNS ASK a9##.#d.akamai.net

Другое

Ищет следующие окна

ClassName: 'Internet Explorer_Server' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'Static' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\psiphon-tunnel-core.exe' --config "%APPDATA%\Psiphon3\psiphon.config" --serverList "%APPDATA%\Psiphon3\server_list.dat"
'%TEMP%\psiphon-url-proxy.exe' --config "%APPDATA%\Psiphon3\url_proxy.config"

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://ipfounder.net/?sponsor_id=4BA4DEF917101460&sponsor=psiphon_bbg&client_region=NL&client_asn=60781&client_platform=windows&secret=580EfjEI29xL3hoyU6dgP4vSEVxdcGI7JDFkxgjds7PHulSEF0wmORpvz...