Trojan.DownLoader36.41279

Техническая информация

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:7788;https=127.0.0.1:7788;'

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\fiddlercore4.dll
%TEMP%\tmpebcc.tmp
%APPDATA%\microsoft\systemcertificates\my\keys\beedf877a525ea4a3026680e904f03971475cd2c
%APPDATA%\microsoft\systemcertificates\my\certificates\b03b798b316b5f2af74d9a0ff39480e489afefea
%APPDATA%\microsoft\systemcertificates\request\certificates\7bc2d51cb9a0407062a40337ffd968fd1a6d594d
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\k3ly652o\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\kafkvmto\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zvv3bp5h\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\v9gj2zme\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\4399ddbb7a9bd0786371bdb09f9db7ea_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%APPDATA%\qy\ssl.cert
%APPDATA%\qy\ssl.key
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\74f363b34017d5c909cd88946fcb2fee_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%TEMP%\tmpd3b7.tmp
%TEMP%\tmpd397.tmp
%APPDATA%\microsoft\systemcertificates\my\keys\f806f2581bfbe2f1c056bcfdc33dc3e6a2722418
%APPDATA%\microsoft\systemcertificates\my\certificates\1c53a813f2820a4031cb569a836e90dfe664bb13
%APPDATA%\microsoft\systemcertificates\request\certificates\365d63407da9cb267db7f818eef4bb6261d509a3
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\130e91e427a4e7b1f4c462caef94d868_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
<Текущая директория>\makecert.exe
<Текущая директория>\libeay32.dll
<Текущая директория>\ssleay32.dll
<Текущая директория>\efd.dll
%TEMP%\tmpebcd.tmp
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1960123792-2022915161-3775307078-1001\0b9f15093b9cc1fe1e0ea57addde58c0_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\v9gj2zme\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zvv3bp5h\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\kafkvmto\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\k3ly652o\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

%APPDATA%\microsoft\systemcertificates\request\certificates\365d63407da9cb267db7f818eef4bb6261d509a3
%TEMP%\tmpd397.tmp
%TEMP%\tmpd3b7.tmp
%APPDATA%\microsoft\systemcertificates\request\certificates\7bc2d51cb9a0407062a40337ffd968fd1a6d594d
%TEMP%\tmpebcc.tmp
%TEMP%\tmpebcd.tmp

Сетевая активность

Подключается к

'microsoft.com':80
'localhost':7788
'st####.rapidssl.com':80
'oc##.#tartssl.com':80
'oc##.thawte.com':80
'public-trust.com':80

TCP

Запросы HTTP GET

http://st####.rapidssl.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRhhZrQET0hvbSHUJmNfBKqR%2FiT7wQUU8oXWfxrwAMhLxqu5KqoHIJW2nUCEA8RAzFf4a7BlufTueeio%2F0%3D
http://st####.rapidssl.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRhhZrQET0hvbSHUJmNfBKqR%2FiT7wQUU8oXWfxrwAMhLxqu5KqoHIJW2nUCEAI6oJP8gn8D%2F19dd4BsEgc%3D
http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV
http://oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D

'localhost':49175

UDP

DNS ASK microsoft.com
DNS ASK st####.rapidssl.com
DNS ASK oc##.#tartssl.com
DNS ASK oc##.thawte.com
DNS ASK public-trust.com

Другое

Добавляет корневой сертификат

Запускает на исполнение

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\wininet.dll",DispatchAPICall 1