Trojan.DownLoader8.33953

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'rsm' = '"%APPDATA%\Microsoft\Windows\dllcache\rsm.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\rsm.lnk

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\cab5.tmp
%APPDATA%\Microsoft\Windows\dllcache\rsm.exe

Запускает на исполнение:

<SYSTEM32>\svchost.exe -k netsvcs

Внедряет код в

следующие системные процессы:

<Служебный элемент>
<SYSTEM32>\cscript.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\dataclen.dll
%APPDATA%\Microsoft\Windows\dllcache\h323.tsp
%APPDATA%\Microsoft\Windows\dllcache\kbdbu.dll
%APPDATA%\Microsoft\Windows\dllcache\browselc.dll
%APPDATA%\Microsoft\Windows\dllcache\perfmon.exe
%APPDATA%\Microsoft\Windows\dllcache\qasf.dll
%APPDATA%\Microsoft\Windows\dllcache\activeds.tlb
%APPDATA%\Microsoft\Windows\dllcache\davclnt.dll
%APPDATA%\Microsoft\Windows\dllcache\qappsrv.exe
%APPDATA%\Microsoft\Windows\dllcache\ncpa.cpl
%APPDATA%\Microsoft\Windows\dllcache\xcopy.exe
%APPDATA%\Microsoft\Windows\dllcache\licwmi.dll
%APPDATA%\Microsoft\Windows\dllcache\rsvpperf.dll
%APPDATA%\Microsoft\Windows\dllcache\bthprops.cpl
%APPDATA%\Microsoft\Windows\dllcache\osk.exe
%APPDATA%\Microsoft\Windows\dllcache\fc.exe
%APPDATA%\Microsoft\Windows\dllcache\mfc100deu.dll
%APPDATA%\Microsoft\Windows\dllcache\alg.exe
%APPDATA%\Microsoft\Windows\dllcache\noise.deu
%APPDATA%\Microsoft\Windows\dllcache\webfldrs.msi
%APPDATA%\Microsoft\Windows\dllcache\edit.com
%APPDATA%\Microsoft\Windows\dllcache\els.dll
%APPDATA%\Microsoft\Windows\dllcache\PresentationHostProxy.dll
%APPDATA%\Microsoft\Windows\dllcache\basesrv.dll
%APPDATA%\Microsoft\Windows\dllcache\wiavideo.dll
%APPDATA%\Microsoft\Windows\dllcache\verifier.exe
%APPDATA%\Microsoft\Windows\dllcache\sigverif.exe
%APPDATA%\Microsoft\Windows\dllcache\sapi.cpl.manifest
%APPDATA%\Microsoft\Windows\dllcache\unimdm.tsp
%APPDATA%\Microsoft\Windows\dllcache\pagefileconfig.vbs
%APPDATA%\Microsoft\Windows\dllcache\ega.cpi
%APPDATA%\Microsoft\Windows\dllcache\g711codc.ax
%APPDATA%\Microsoft\Windows\dllcache\taskmgr.exe
%APPDATA%\Microsoft\Windows\dllcache\hhctrl.ocx
%APPDATA%\Microsoft\Windows\dllcache\xmlprovi.dll
%APPDATA%\Microsoft\Windows\dllcache\oembios.sig
%APPDATA%\Microsoft\Windows\dllcache\rsmsink.exe
%APPDATA%\Microsoft\Windows\dllcache\iissuba.dll
%APPDATA%\Microsoft\Windows\dllcache\watchdog.sys
%APPDATA%\Microsoft\Windows\dllcache\libdns.dll
%APPDATA%\Microsoft\Windows\dllcache\cacls.exe
%APPDATA%\Microsoft\Windows\dllcache\netware.drv
%APPDATA%\Microsoft\Windows\dllcache\w32time.dll
%APPDATA%\Microsoft\Windows\dllcache\icwphbk.dll
%APPDATA%\Microsoft\Windows\dllcache\cdm.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdcan.dll
%APPDATA%\Microsoft\Windows\dllcache\fixmapi.exe
%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\62dd46b0-4f34-4e66-a5e9-2c7dc1fef6ac
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\216b960939d772a37ffc30c10e24699b_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\cab1.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\211610E0A73F0E6A3C1B8350F1AA3B7D31A10483
%APPDATA%\Microsoft\Windows\dllcache\rsm.exe
%APPDATA%\Microsoft\Windows\dllcache\vdmredir.dll
%APPDATA%\Microsoft\Windows\dllcache\append.exe
%APPDATA%\Microsoft\Windows\dllcache\rasctrnm.h
%APPDATA%\Microsoft\Windows\dllcache\routetab.dll
%APPDATA%\Microsoft\Windows\dllcache\aaaamon.dll
%APPDATA%\Microsoft\Windows\dllcache\xolehlp.dll
%TEMP%\cab5.tmp
%APPDATA%\Microsoft\Windows\dllcache\jobexec.dll
%APPDATA%\Microsoft\Windows\dllcache\certcli.dll
%APPDATA%\Microsoft\Windows\dllcache\rdpcfgex.dll
%APPDATA%\Microsoft\Windows\dllcache\rasadhlp.dll
%APPDATA%\Microsoft\Windows\dllcache\lmrt.dll
%APPDATA%\Microsoft\Windows\dllcache\xactsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\mlang.dat
%APPDATA%\Microsoft\Windows\dllcache\w32tm.exe
%APPDATA%\Microsoft\Windows\dllcache\ifmon.dll
%APPDATA%\Microsoft\Windows\dllcache\gcdef.dll
%APPDATA%\Microsoft\Windows\dllcache\magnify.exe
%APPDATA%\Microsoft\Windows\dllcache\cabinet.dll

Удаляет следующие файлы:

%TEMP%\cab4.tmp
%TEMP%\cab5.tmp
%TEMP%\cab1.tmp
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Windows\dllcache\rsm.exe

Перемещает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp в %APPDATA%\Microsoft\Windows\dllcache\rsm.exe
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp в %APPDATA%\Microsoft\Windows\dllcache\rsm.exe

Сетевая активность:

Подключается к: