Trojan.DownLoader11.15585

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\Distribuqxyi] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\Distribuqxyi] 'ImagePath' = '<SYSTEM32>\ycogcg.exe'

Создает следующие сервисы

'Distribuqxyi' <SYSTEM32>\ycogcg.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\lpk.dll

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\ycogcg.exe
%WINDIR%\syswow64\hra33.dll
C:\rcx4b04.tmp
C:\far2\lpk.dll

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\lpk.dll
C:\far2\lpk.dll

Перемещает следующие файлы

C:\rcx4b04.tmp в %WINDIR%\syswow64\hra33.dll

Самоперемещается

из <Полный путь к файлу> в %TEMP%\software.log

Сетевая активность

Подключается к

'mm#####3670.3322.org':8081

UDP

DNS ASK mm#####3670.3322.org

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\ycogcg.exe'
'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\calculatorworksheet.zip" lpk.dll|find /i "lpk.dll"' (со скрытым окном)
'%ProgramFiles%\WinRAR\Rar.exe' x "<Имя диска съемного носителя>:\calculatorworksheet.zip" *.exe "%WINDIR%\TEMP\IRA48C.tmp\"' (со скрытым окном)
'%ProgramFiles%\WinRAR\Rar.exe' a -r -ep1"%WINDIR%\TEMP\IRA48C.tmp" "<Имя диска съемного носителя>:\calculatorworksheet.zip" "%WINDIR%\TEMP\IRA48C.tmp\lpk.dll"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c RD /s /q "%WINDIR%\TEMP\IRA48C.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\price030215.zip" lpk.dll|find /i "lpk.dll"' (со скрытым окном)
'%ProgramFiles%\WinRAR\Rar.exe' x "<Имя диска съемного носителя>:\price030215.zip" *.exe "%WINDIR%\TEMP\IRA48C.tmp\"' (со скрытым окном)
'%ProgramFiles%\WinRAR\Rar.exe' a -r -ep1"%WINDIR%\TEMP\IRA48C.tmp" "<Имя диска съемного носителя>:\price030215.zip" "%WINDIR%\TEMP\IRA48C.tmp\lpk.dll"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\fiche_inscription_2015.zip" lpk.dll|find /i "lpk.dll"' (со скрытым окном)
'%ProgramFiles%\WinRAR\Rar.exe' x "<Имя диска съемного носителя>:\fiche_inscription_2015.zip" *.exe "%WINDIR%\TEMP\IRA48C.tmp\"' (со скрытым окном)
'%ProgramFiles%\WinRAR\Rar.exe' a -r -ep1"%WINDIR%\TEMP\IRA48C.tmp" "<Имя диска съемного носителя>:\fiche_inscription_2015.zip" "%WINDIR%\TEMP\IRA48C.tmp\lpk.dll"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\1sm_price.zip" lpk.dll|find /i "lpk.dll"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\calculatorworksheet.zip" lpk.dll|find /i "lpk.dll"
'%ProgramFiles%\WinRAR\Rar.exe' vb "<Имя диска съемного носителя>:\calculatorworksheet.zip" lpk.dll
'%WINDIR%\syswow64\find.exe' /i "lpk.dll"
'%ProgramFiles%\WinRAR\Rar.exe' x "<Имя диска съемного носителя>:\calculatorworksheet.zip" *.exe "%WINDIR%\TEMP\IRA48C.tmp\"
'%ProgramFiles%\WinRAR\Rar.exe' a -r -ep1"%WINDIR%\TEMP\IRA48C.tmp" "<Имя диска съемного носителя>:\calculatorworksheet.zip" "%WINDIR%\TEMP\IRA48C.tmp\lpk.dll"
'%WINDIR%\syswow64\cmd.exe' /c RD /s /q "%WINDIR%\TEMP\IRA48C.tmp"
'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\price030215.zip" lpk.dll|find /i "lpk.dll"
'%ProgramFiles%\WinRAR\Rar.exe' vb "<Имя диска съемного носителя>:\price030215.zip" lpk.dll
'%ProgramFiles%\WinRAR\Rar.exe' x "<Имя диска съемного носителя>:\price030215.zip" *.exe "%WINDIR%\TEMP\IRA48C.tmp\"
'%ProgramFiles%\WinRAR\Rar.exe' a -r -ep1"%WINDIR%\TEMP\IRA48C.tmp" "<Имя диска съемного носителя>:\price030215.zip" "%WINDIR%\TEMP\IRA48C.tmp\lpk.dll"
'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\fiche_inscription_2015.zip" lpk.dll|find /i "lpk.dll"
'%ProgramFiles%\WinRAR\Rar.exe' vb "<Имя диска съемного носителя>:\fiche_inscription_2015.zip" lpk.dll
'%ProgramFiles%\WinRAR\Rar.exe' x "<Имя диска съемного носителя>:\fiche_inscription_2015.zip" *.exe "%WINDIR%\TEMP\IRA48C.tmp\"
'%ProgramFiles%\WinRAR\Rar.exe' a -r -ep1"%WINDIR%\TEMP\IRA48C.tmp" "<Имя диска съемного носителя>:\fiche_inscription_2015.zip" "%WINDIR%\TEMP\IRA48C.tmp\lpk.dll"
'%WINDIR%\syswow64\cmd.exe' /c C:\PROGRA~1\WinRAR\rar.exe vb "<Имя диска съемного носителя>:\1sm_price.zip" lpk.dll|find /i "lpk.dll"
'%ProgramFiles%\WinRAR\Rar.exe' vb "<Имя диска съемного носителя>:\1sm_price.zip" lpk.dll