Trojan.DownLoader8.22666

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bipro' = 'rundll32 "%WINDIR%\$XNTUninstall643$\xmaqi.dll",,Run'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\kknutl.exe
%TEMP%\ddrtgp.exe
%TEMP%\eacmtx.exe
%TEMP%\-1998166001
%TEMP%\ftulkth.exe
%TEMP%\rpuawut.exe
%TEMP%\kivhyjjj.exe
%TEMP%\oqllcb.exe
%TEMP%\unit.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2503.exe /SP- /suppressmsgboxes /verysilent /noicons /norestart
%TEMP%\kcpyckt.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2505.exe /SP- /suppressmsgboxes /verysilent /noicons /norestart
%TEMP%\ogyomeyn.exe
%TEMP%\mdnue.exe
%TEMP%\-1998166001 (загружен из сети Интернет)
%TEMP%\rpuawut.exe (загружен из сети Интернет)
%TEMP%\mdnue.exe (загружен из сети Интернет)
%TEMP%\kivhyjjj.exe (загружен из сети Интернет)
%TEMP%\ogyomeyn.exe (загружен из сети Интернет)
%TEMP%\eacmtx.exe (загружен из сети Интернет)
%TEMP%\unit.exe (загружен из сети Интернет)
%TEMP%\kcpyckt.exe (загружен из сети Интернет)
%TEMP%\oqllcb.exe (загружен из сети Интернет)
%TEMP%\ftulkth.exe (загружен из сети Интернет)
%TEMP%\kknutl.exe (загружен из сети Интернет)
%TEMP%\ddrtgp.exe (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\rundll32.exe "%WINDIR%\$XNTUninstall643$\xmaqi.dll",,Run
<SYSTEM32>\svchost.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vrrvzwa[1].php
%TEMP%\ftulkth.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\enivvqmqe[1].php
%TEMP%\oqllcb.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\sobfwtkko[1].php
%TEMP%\ddrtgp.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\fsjjwxb[1].php
%TEMP%\rpuawut.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\lhicc[1].php
%TEMP%\mdnue.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pfttg[1].php
%TEMP%\-1998166001
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\vessmwnnrr[1].php
%TEMP%\kivhyjjj.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\narfzjahrv[1].php
%TEMP%\kknutl.exe
%WINDIR%\$XNTUninstall643$\apUninstall.exe
%TEMP%\nsb3.tmp\InetLoad.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\drevimd[1].php
%WINDIR%\$XNTUninstall643$\xmaqi.dll
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2505.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2503.exe
%WINDIR%\$XNTUninstall643$\bytwn.dll
%TEMP%\unit.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\neeflu[1].php
%TEMP%\eacmtx.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gczddhh[1].php
%TEMP%\ogyomeyn.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\jttgokbftt[1].php
%TEMP%\kcpyckt.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bbbcgx[1].php

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2503.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2505.exe

Удаляет следующие файлы:

<SYSTEM32>\svchost.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2505.exe

Сетевая активность:

Подключается к:

'localhost':1040
'cn##.8-4-7.biz':80
'ca###let.com':80
're#####.mag-net-work.com':80

TCP:

Запросы HTTP GET:

ca###let.com/oesbpwkx/enivvqmqe.php?ad#######################
ca###let.com/oesbpwkx/vrrvzwa.php?ad#######################
ca###let.com/oesbpwkx/fsjjwxb.php?ad#######################
ca###let.com/oesbpwkx/vessmwnnrr.php?ad#######################
ca###let.com/oesbpwkx/pfttg.php?ad#####################################################
ca###let.com/oesbpwkx/lhicc.php?ad#######################
ca###let.com/oesbpwkx/narfzjahrv.php?ad#######################
re#####.mag-net-work.com/instl/nsis.srf?cm########################################################################################################
ca###let.com/oesbpwkx/jttgokbftt.php?ad#######################
ca###let.com/oesbpwkx/drevimd.php?ad#######################
ca###let.com/oesbpwkx/bbbcgx.php?ad#######################
ca###let.com/oesbpwkx/sobfwtkko.php?ad#######################
ca###let.com/oesbpwkx/gczddhh.php?ad#######################
ca###let.com/oesbpwkx/neeflu.php?ad#######################