Trojan.DownLoader8.44587

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{B7D3E479-CC68-42B5-A338-C6B1F168274C}] 'ClsidExtension' = '{B7D3E479-CC68-42B5-A338-C6B1F168274C}'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\bbbc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Imsvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\cdnprot] 'start' = '00000000'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\cx_1013.exe'
'%TEMP%\UUSEE_borl_Setup_02.exe' -v vermini_x_hy.ini -s test.exe
'C:\temp\1005_1018_0501_1-232.exe'
'%TEMP%\live.exe'
'%TEMP%\7\setup.exe' 00010802
'%TEMP%\Del9.tmp' 72 "C:\temp\4fyg.exe"
'%TEMP%\MIS_1013_0.EXE'
'C:\temp\1049.exe'
'C:\temp\4fyg.exe'
'C:\temp\UUSEE_borl_Setup02.exe'
'<SYSTEM32>\explorer.exe' /s <SYSTEM32>\bmband.dll
'C:\temp\sofa025.exe'
'%TEMP%\UUpdate.exe'
'C:\temp\CUE1013.exe'

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' %CommonProgramFiles%\hhhi\ooop.dll,Service
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\Webmail.dll,RundllInstall

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\7\cdnunins.exe
%TEMP%\7\cdnsign.dll
%TEMP%\7\cdnprot.sys
%TEMP%\7\cdnup.exe
%TEMP%\7\idnconvs.dll
%TEMP%\7\cdnvers.dat
%TEMP%\7\cdnuplib.dll
%PROGRAM_FILES%\SoftToolbar\sofa.crc
%TEMP%\7\cdnins.dll
%PROGRAM_FILES%\SoftToolbar\favicon.ico
%TEMP%\7\cdnforie.dll
%PROGRAM_FILES%\SoftToolbar\offlinebanner.html
%TEMP%\7\cdnprot.dat
%PROGRAM_FILES%\SoftToolbar\sofa.inf
%TEMP%\7\cdnprh.dll
%CommonProgramFiles%\hhhi\jjjk.ini
%CommonProgramFiles%\hhhi\lllm.dll
%CommonProgramFiles%\hhhi\eeef.ini
%CommonProgramFiles%\hhhi\ooop.dll
%PROGRAM_FILES%\UUSee\last_ver.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vermini_x_hy[1].ini
%TEMP%\src.tmp
%CommonProgramFiles%\hhhi\gggh.ini
%TEMP%\7\src.dat
%TEMP%\7\setup.exe
%PROGRAM_FILES%\SoftToolbar\soft.dll
%PROGRAM_FILES%\SoftToolbar\inst.bat
%TEMP%\Del9.tmp
<SYSTEM32>\Webmail.dll
%TEMP%\invison.exe
%TEMP%\nsx4.tmp
%TEMP%\UUpdate.exe
%TEMP%\UUSEE_borl_Setup_02.exe
%TEMP%\cx_1013.exe
%PROGRAM_FILES%\SoftToolbar\huanyuan.bmp
%PROGRAM_FILES%\SoftToolbar\big.bmp
%TEMP%\nsx6.tmp
<SYSTEM32>\explorer.exe
C:\temp\1049.exe
C:\temp\1005_1018_0501_1-232.exe
C:\temp\4fyg.exe
C:\temp\CUE1013.exe
<SYSTEM32>\bmband.dll
C:\temp\UUSEE_borl_Setup02.exe
C:\temp\sofa025.exe
%PROGRAM_FILES%\SoftToolbar\download.bmp
%PROGRAM_FILES%\SoftToolbar\gouwu.bmp
%PROGRAM_FILES%\SoftToolbar\basis.xml
%TEMP%\7\cdn.dll
%PROGRAM_FILES%\SoftToolbar\secrch.bmp
%TEMP%\7\cdnaux.dll
%PROGRAM_FILES%\SoftToolbar\gongju.bmp
%PROGRAM_FILES%\SoftToolbar\affid.dat
%PROGRAM_FILES%\SoftToolbar\small.bmp
%PROGRAM_FILES%\SoftToolbar\money.bmp
%PROGRAM_FILES%\SoftToolbar\icons.bmp
%PROGRAM_FILES%\SoftToolbar\sofa.bmp
%TEMP%\live.exe
%PROGRAM_FILES%\SoftToolbar\version.txt
%PROGRAM_FILES%\SoftToolbar\sortSearch.xml