Trojan.DownLoader8.23597

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Messenger' = '%WINDIR%\messenger\messenger.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'JSsetup' = '%WINDIR%\system\jssetup\JSsetup.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'scdile.dll'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'csiddll'

Создает или изменяет следующие файлы:

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\cmd.exe /c <SYSTEM32>\gsltcyfrh.bat
<SYSTEM32>\cmd.exe /c <SYSTEM32>\mnqgrsk.bat
<SYSTEM32>\ping.exe 127.0.0.1
<SYSTEM32>\cmd.exe /c 375519961O57540.bat
<SYSTEM32>\regsvr32.exe /s <SYSTEM32>\taoba_1.dll
<SYSTEM32>\rundll32.exe ccy4699.dll , InstallMyDll
<SYSTEM32>\regsvr32.exe /s <SYSTEM32>\scdile.dll
<SYSTEM32>\sc.exe create uflktg type= kernel binpath= "%PROGRAM_FILES%\Uninstall Information\{a429adf5-5326-46aa-0087-bebda2b5f879}\uflktg.bin" start= auto
<SYSTEM32>\sc.exe create gofogt type= kernel start= auto binpath= "%PROGRAM_FILES%\Uninstall Information\{a429adf5-5326-46aa-0087-bebda2b5f879}\gofogt.bin"
<SYSTEM32>\regsvr32.exe /s "%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll"

Ищет следующие окна с целью

обнаружения утилит для анализа:

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\system\ru7000.drv
%WINDIR%\msapps\tob3579
%WINDIR%\repair\eu2739
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\downloader_4005[1].gif
%PROGRAM_FILES%\Uninstall Information\{a429adf5-5326-46aa-0087-bebda2b5f879}\gofogt.bin
%WINDIR%\inf\bt9832.PNF
<SYSTEM32>\Windows.ime
%PROGRAM_FILES%\Internet Explorer\IETimbar\Uninstall.exe
%WINDIR%\Temp\{76568d54-376e-48d0-00be-4ab603d31b07}
C:\startup_localf.exe
C:\svchost.exe
<SYSTEM32>\gsltcyfrh.bat
<SYSTEM32>\qwhany.bat
<SYSTEM32>\taoba_1.dll
%TEMP%\57540.aqq
%TEMP%\375519961O57540.bat
<SYSTEM32>\mnqgrsk.bat
%WINDIR%\messenger\messenger.exe
%TEMP%\tmp.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\image[1].jpg
<SYSTEM32>\wsgfhaz.bat
<SYSTEM32>\axysrvc.exe
%TEMP%\syseter.exe
%TEMP%\explor.exe
<SYSTEM32>\ccy4699.dll
<SYSTEM32>\scdile.dll
<SYSTEM32>\dllcache\ccy4699.dll
%TEMP%\servie.exe
%TEMP%\spools.exe
%TEMP%\nsb2.tmp
%TEMP%\lqbzse.exe
%TEMP%\selvice.exe
%TEMP%\svehost.exe
%PROGRAM_FILES%\Internet Explorer\IETimbar\httpf.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\vercfg.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\crpop.dat
<SYSTEM32>\temp.dll
<SYSTEM32>\s3s4312.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\cfg.dat
%TEMP%\3.tmp
%WINDIR%\Web\jtq3020.htt
%PROGRAM_FILES%\Uninstall Information\{a429adf5-5326-46aa-0087-bebda2b5f879}\uflktg.bin
%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll
%APPDATA%\d43sdf.dat

Удаляет следующие файлы:

<SYSTEM32>\qceefkoc.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\image[1].jpg
%TEMP%\tmp.tmp
%TEMP%\selvice.exe
%TEMP%\spools.exe
%TEMP%\57540.aqq
<SYSTEM32>\hzzdltlayu.bat
%TEMP%\3.tmp
%APPDATA%\d43sdf.dat
%PROGRAM_FILES%\Uninstall Information\{a429adf5-5326-46aa-0087-bebda2b5f879}\uflktg.bin
%PROGRAM_FILES%\Uninstall Information\{a429adf5-5326-46aa-0087-bebda2b5f879}\gofogt.bin
%WINDIR%\inf\bt9832.PNF
%WINDIR%\Temp\{76568d54-376e-48d0-00be-4ab603d31b07}
%TEMP%\lqbzse.exe

Перемещает следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

www.de####ll-wz.com.cn/nba/image.jpg
ms#.#912345.com/html/downloader_4005.gif
www.66##.8800.orghttp://www.6666.8800.org/Start.htm?Ar#############################################################################################################################################

UDP: