Trojan.DownLoad.32051

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run] '1ntrenat' = '%TEMP%\myself5.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\sovhst.exe'
[<HKLM>\SOFTWARE\Microsoft\Command Processor] 'autorun' = '<SYSTEM32>\sovhst.exe'

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

Завершает или пытается завершить

следующие пользовательские процессы:

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

Скрывает следующие процессы:

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\HLQQ2.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\baidu[1]
<SYSTEM32>\sovhst.exe
<SYSTEM32>\discard.ini
<SYSTEM32>\conmie.exe
<SYSTEM32>\sNgNi3.dll
%HOMEPATH%\Favorites\НшЦ·µјєЅ.url
<SYSTEM32>\3o0703.bat
<DRIVERS>\zdgat.sys
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\rankstat[1].htm
%TEMP%\tmp.bat
%WINDIR%\sysqq.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\install[1].asp
<SYSTEM32>\sufost.ini
%TEMP%\tmp.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\downloader[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\new[1].rar
%TEMP%\lsass.exe
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Жф¶Ї Internet Explorer дЇААЖч.lnk
%TEMP%\setup_102725.exe
%TEMP%\dl1host.exe
<DRIVERS>\dtwfwqun.sys
%TEMP%\4005.exe
%TEMP%\myself5.exe
%TEMP%\S_pas6666_1A1.exe
%TEMP%\nsc2.tmp
%TEMP%\qq03.exe
%TEMP%\TBSetup(-33554357).exe
%PROGRAM_FILES%\zzToolBar\SearchEngineConfig
%PROGRAM_FILES%\zzToolBar\IP.dat
%PROGRAM_FILES%\zzToolBar\Uninstall.exe
%TEMP%\dsetup.bat
%PROGRAM_FILES%\zzToolBar\Toolbar_bho.dll
%TEMP%\nsg4.tmp\Processes.dll
%WINDIR%\eygmgwol.exe
%PROGRAM_FILES%\zzToolBar\ToolBand.dll
C:\tmpqq10000.tmp

Удаляет следующие файлы:

%TEMP%\tmp.tmp
<SYSTEM32>\svohost.exe
%TEMP%\4005.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\install[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\rankstat[1].htm
%TEMP%\S_pas6666_1A1.exe
C:\tmpqq10000.tmp
%TEMP%\nsg4.tmp\Processes.dll
%TEMP%\qq03.exe
%TEMP%\setup_102725.exe

Перемещает следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

qq###3.com.cn/new.rar
qq###3.com.cn/hailiang.asp?ac################################################################################################
www.ou##ang.cn/api.php?bX##################################################################################################
www.qq##p.cn/bawang/install.asp?ve#########################################################################################################
up####.heishatu.cn/adsys/rankstat.htm?In##############################################################################################
www.ba##u.com/
pw#.#1ave.net/cike.php?fi#################################################
xy#.#as6666.cn/count.php?fi#################################################
ms#.#lone.cn/html/downloader.gif
aa##.11ave.net/cike.php?fi#################################################

UDP:

Другое:

Ищет следующие окна:

ClassName: 'NotifyWnd' WindowName: ''
ClassName: 'MS_WINHELP' WindowName: ''
ClassName: '' WindowName: '????????????'
ClassName: 'ATL:020943B0' WindowName: ''
ClassName: 'IEFrame' WindowName: ''
ClassName: 'SysPager' WindowName: ''
ClassName: 'ToolbarWindow32' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'TrayNotifyWnd' WindowName: ''
ClassName: 'Afx:400000:0' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: '' WindowName: 'Shell_TrayWnd'
ClassName: '' WindowName: 'QQnew'
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: '#32770' WindowName: ''
ClassName: '' WindowName: '????????'
ClassName: '{F03B79CC-5B19-4D71-9EDD-FFDD44B441BF}' WindowName: '{F03B79CC-5B19-4D71-9EDD-FFDD44B441BF}'
ClassName: '' WindowName: 'biaoji'