Trojan.Packed.19983

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ewrgetuj' = '%TEMP%\geurge.exe'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\tdl] 'Name' = '%TEMP%\5.tmp'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\lbri.exe'
'%TEMP%\wsofx.exe'
'%TEMP%\mhlhgpac.exe'
'%TEMP%\pfckb.exe'
'%TEMP%\-1998166001'
'%TEMP%\ddci.exe'
'%TEMP%\vhkv.exe'
'%TEMP%\nsmaaujr.exe'
'%TEMP%\vigtq.exe'
'%TEMP%\mrdkhn.exe'
'%TEMP%\nsa3.tmp\DNU.exe'
'%TEMP%\geurge.exe'
'%TEMP%\nsa3.tmp\cbwp.exe'
'%TEMP%\nsa3.tmp\EuroP.exe'
'%TEMP%\nsa3.tmp\E4U.exe'
'%TEMP%\nllmkyh.exe'
'%TEMP%\tdvvjeva.exe'
'%TEMP%\nsa3.tmp\Gi.exe'
'%TEMP%\nsa3.tmp\lsass.exe'
'%TEMP%\vhkv.exe' (загружен из сети Интернет)
'%TEMP%\nsmaaujr.exe' (загружен из сети Интернет)
'%TEMP%\ddci.exe' (загружен из сети Интернет)
'%TEMP%\mrdkhn.exe' (загружен из сети Интернет)
'%TEMP%\-1998166001' (загружен из сети Интернет)
'%TEMP%\mhlhgpac.exe' (загружен из сети Интернет)
'%TEMP%\nllmkyh.exe' (загружен из сети Интернет)
'%TEMP%\pfckb.exe' (загружен из сети Интернет)
'%TEMP%\wsofx.exe' (загружен из сети Интернет)
'%TEMP%\vigtq.exe' (загружен из сети Интернет)
'%TEMP%\lbri.exe' (загружен из сети Интернет)
'%TEMP%\tdvvjeva.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""C:\tujserrew.bat""
'<SYSTEM32>\net1.exe' stop "Security Center"
'<SYSTEM32>\net1.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)
'<SYSTEM32>\sc.exe' config SharedAccess start= DISABLED
'<SYSTEM32>\net.exe' stop "Security Center"
'<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
'<SYSTEM32>\net.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)

Внедряет код в

следующие системные процессы:

<SYSTEM32>\spoolsv.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\wsofx.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\fjnvpk[1].php
%TEMP%\vigtq.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\fwevpovto[1].php
%TEMP%\lbri.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\gnemtrzxsn[1].php
%TEMP%\-1998166001
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\yptozgozmu[1].php
%TEMP%\mhlhgpac.exe
%TEMP%\Aqz..bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\oriqbjdp[1].php
%TEMP%\ddci.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\txrzxs[1].php
%TEMP%\vhkv.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\wzdcjrp[1].php
%TEMP%\mrdkhn.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\rvqxfn[1].php
%TEMP%\nsmaaujr.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\hypwhc[1].php
%TEMP%\nsa3.tmp\cbwp.exe
%TEMP%\nsa3.tmp\Gi.exe
%WINDIR%\Temp\6.tmp
%TEMP%\4.tmp
%TEMP%\nsa3.tmp\EuroP.exe
%TEMP%\nsa3.tmp\lsass.exe
%TEMP%\nsp2.tmp
%TEMP%\nsa3.tmp\E4U.exe
%TEMP%\nsa3.tmp\DNU.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\kkemu[1].php
C:\tujserrew.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\hyfahpxiq[1].php
%TEMP%\pfckb.exe
%TEMP%\nllmkyh.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\fwelcx[1].php
%TEMP%\geurge.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\imwaic[1].php
%TEMP%\tdvvjeva.exe

Удаляет следующие файлы:

%TEMP%\nsa3.tmp\lsass.exe
%TEMP%\nsa3.tmp\Gi.exe
%TEMP%\~DF52F3.tmp
%WINDIR%\Temp\6.tmp
%TEMP%\nsa3.tmp\cbwp.exe
%TEMP%\5.tmp
%TEMP%\nsa3.tmp\EuroP.exe
%TEMP%\nsa3.tmp\E4U.exe

Перемещает следующие файлы:

%TEMP%\nsa3.tmp\DNU.exe в %TEMP%\7.tmp
%TEMP%\4.tmp в %TEMP%\5.tmp

Сетевая активность:

Подключается к:

'ab####gnostic.com':80
'pi####usearts.com':80

TCP:

Запросы HTTP GET:

ab####gnostic.com/ufwnltbz/hypwhc.php?ad########
ab####gnostic.com/ufwnltbz/rvqxfn.php?ad########
ab####gnostic.com/ufwnltbz/fwevpovto.php?ad########
ab####gnostic.com/ufwnltbz/txrzxs.php?ad#################################################
ab####gnostic.com/ufwnltbz/oriqbjdp.php?ad########
ab####gnostic.com/ufwnltbz/wzdcjrp.php?ad########
ab####gnostic.com/ufwnltbz/fjnvpk.php?ad########
ab####gnostic.com/ufwnltbz/hyfahpxiq.php?ad########
ab####gnostic.com/ufwnltbz/imwaic.php?ad########
ab####gnostic.com/ufwnltbz/fwelcx.php?ad########
ab####gnostic.com/ufwnltbz/yptozgozmu.php?ad########
ab####gnostic.com/ufwnltbz/gnemtrzxsn.php?ad########
ab####gnostic.com/ufwnltbz/kkemu.php?ad########