Trojan.DownLoader7.30822

Добавлен в вирусную базу Dr.Web: 2012-11-25

Описание добавлено: 2012-11-25

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe' = '%PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe:*:Enabled:DualDesk-Server'

Создает и запускает на исполнение:

%TEMP%\nst5.tmp\ns10.tmp REG.EXE DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service" /f
%TEMP%\nst5.tmp\ns11.tmp REG.EXE DELETE "SYSTEM\CurrentControlSet\Services\DD_Service\Description" /f
%TEMP%\nst5.tmp\nsE.tmp REG.EXE DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Security" /f
%TEMP%\nst5.tmp\nsF.tmp REG.EXE DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Enum" /f
%PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe
%PROGRAM_FILES%\DD20.4.8201210112256\DDHelper.exe
%TEMP%\nst5.tmp\ns12.tmp REG.EXE DELETE "SYSTEM\CurrentControlSet\Services\DD_Service\DependOnService" /f
%TEMP%\nst5.tmp\ns13.tmp REG.EXE DELETE "SYSTEM\CurrentControlSet\Services\DD_Service" /f
%TEMP%\nst5.tmp\nsD.tmp "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe" "DualDesk-Server" ENABLE
%TEMP%\nst5.tmp\ns7.tmp "sc.exe" stop DD_CAD
%TEMP%\nst5.tmp\ns8.tmp "net.exe" stop DD_Service
%TEMP%\nsu3.tmp\DD_tech-chris.futuraintl.com_65000.exe /337129532031564915742_Futura International/0
%TEMP%\nst5.tmp\ns6.tmp "sc.exe" stop DD_Service
%TEMP%\nst5.tmp\nsB.tmp "sc.exe" delete DD_CAD
%TEMP%\nst5.tmp\nsC.tmp "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe" "DualDesk-Server" ENABLE ALL
%TEMP%\nst5.tmp\ns9.tmp "net.exe" stop DD_CAD
%TEMP%\nst5.tmp\nsA.tmp "sc.exe" delete DD_Service

Запускает на исполнение:

<SYSTEM32>\reg.exe DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Enum" /f
<SYSTEM32>\reg.exe DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service" /f
<SYSTEM32>\netsh.exe firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe" "DualDesk-Server" ENABLE
<SYSTEM32>\reg.exe DELETE "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DD_Service\Security" /f
<SYSTEM32>\reg.exe DELETE "SYSTEM\CurrentControlSet\Services\DD_Service" /f
<SYSTEM32>\ipconfig.exe /flushdns
<SYSTEM32>\reg.exe DELETE "SYSTEM\CurrentControlSet\Services\DD_Service\Description" /f
<SYSTEM32>\reg.exe DELETE "SYSTEM\CurrentControlSet\Services\DD_Service\DependOnService" /f
<SYSTEM32>\netsh.exe firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe" "DualDesk-Server" ENABLE ALL
<SYSTEM32>\net.exe stop DD_Service
<SYSTEM32>\net1.exe stop DD_Service
<SYSTEM32>\sc.exe stop DD_Service
<SYSTEM32>\sc.exe stop DD_CAD
<SYSTEM32>\sc.exe delete DD_Service
<SYSTEM32>\sc.exe delete DD_CAD
<SYSTEM32>\net.exe stop DD_CAD
<SYSTEM32>\net1.exe stop DD_CAD

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Desktop\ToolBox 20.4.8.0.lnk
%HOMEPATH%\Desktop\Stop Remote Support.lnk
%TEMP%\nst5.tmp\nsE.tmp
%PROGRAM_FILES%\DD20.4.8201210112256\ToolBox\DualDesk.lnk
%TEMP%\nst5.tmp\nsC.tmp
%PROGRAM_FILES%\DD20.4.8201210112256\DDuninst.exe
%PROGRAM_FILES%\DD20.4.8201210112256\StopDD.reg
%TEMP%\nst5.tmp\nsD.tmp
%TEMP%\nst5.tmp\nsF.tmp
%TEMP%\31564915742.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\31564915742[1].txt
%PROGRAM_FILES%\DD20.4.8201210112256\ToolBox\DDHelper.lnk
%TEMP%\MSRC4Plugin-tmp.d1
%TEMP%\nst5.tmp\ns11.tmp
%TEMP%\nst5.tmp\ns10.tmp
%TEMP%\nst5.tmp\ns13.tmp
%TEMP%\nst5.tmp\ns12.tmp
%TEMP%\nst5.tmp\ddUninst.exe
%TEMP%\nst5.tmp\nsExec.dll
%HOMEPATH%\My Documents\My Videos\Desktop.ini
%TEMP%\nst5.tmp\ns7.tmp
%TEMP%\nst5.tmp\ns6.tmp
%TEMP%\nsisdt.dll
%TEMP%\nsz2.tmp
%HOMEPATH%\Start Menu\Programs\Administrative Tools\desktop.ini
%PROGRAM_FILES%\DD20.4.8201210112256\Advantig.txt
%TEMP%\nst5.tmp\ns8.tmp
%PROGRAM_FILES%\DD20.4.8201210112256\UnDD.txt
%PROGRAM_FILES%\DD20.4.8201210112256\Flag.txt
%TEMP%\nst5.tmp\cad.exe
%TEMP%\nst5.tmp\DualDesk.exe
%TEMP%\nst5.tmp\nsA.tmp
%TEMP%\nst5.tmp\ns9.tmp
%PROGRAM_FILES%\DD20.4.8201210112256\DD.txt
%TEMP%\nst5.tmp\nsB.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Перемещает следующие файлы:

%TEMP%\nsu3.tmp\MSRC4Plugin.dsm в %PROGRAM_FILES%\DD20.4.8201210112256\MSRC4Plugin.dsm
%TEMP%\nsu3.tmp\ddHelper.exe в %PROGRAM_FILES%\DD20.4.8201210112256\DDHelper.exe
%TEMP%\nsu3.tmp\rc4.dat в %PROGRAM_FILES%\DD20.4.8201210112256\rc4.dat
%TEMP%\nst5.tmp\DualDesk.exe в %PROGRAM_FILES%\DD20.4.8201210112256\DualDesk.exe
%TEMP%\nst5.tmp\ddUninst.exe в %PROGRAM_FILES%\DD20.4.8201210112256\Uninst.exe
%TEMP%\nsu3.tmp\DD.txt в %PROGRAM_FILES%\DD20.4.8201210112256\DD.txt
%TEMP%\nsu3.tmp\Icon1.ico в %PROGRAM_FILES%\DD20.4.8201210112256\icon1.ico
%TEMP%\nsu3.tmp\Logo.bmp в %PROGRAM_FILES%\DD20.4.8201210112256\Logo.bmp
%TEMP%\nsu3.tmp\Icon2.ico в %PROGRAM_FILES%\DD20.4.8201210112256\icon2.ico
%TEMP%\nsu3.tmp\Ring.wav в %PROGRAM_FILES%\DD20.4.8201210112256\Ring.wav
%TEMP%\nsu3.tmp\Blank.bmp в %PROGRAM_FILES%\DD20.4.8201210112256\Blank.bmp

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

UDP:

Другое:

Ищет следующие окна: