Trojan.DownLoad2.37507

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SP00LSV' = 'c:\zi7pxmcv\c3px-ct35.bat'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\~vis0000\vise32ex.dll
%WINDIR%\rjqing.cj
C:\zi7pxmcv\c3px-ct35.bat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\dnserrordiagoff_weboc[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\errorpagestrings[1]
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\18ВІВҐВ·ГҐГ¦Г·\18ВІВҐВ·ГҐГ¦Г·.lnk
%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\xiezaidll.bat
%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\tvtongji.exe
%HOMEPATH%\desktop\18ВІВҐВ·ГҐГ¦Г·.lnk
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\background_gradient[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\info_48[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\bullet[1]
%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\uninstal.log
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\navcancl[1]
%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\hookmenu.ocx
%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\18ВІВҐВ·ГҐГ¦Г·.exe
C:\sys\sp00lsv.exe
%TEMP%\~vis0000\jpeg.dll
%TEMP%\~vis0000\miscdata.xyz
%TEMP%\~vis0000\rebootnt.exe
%TEMP%\~vis0000\uninst32.exe
%TEMP%\~vis0000\default.bmp
%TEMP%\~vis0000\В°ВІГ—В°ГВјГЇГ±.jpg
%TEMP%\~vis0000\uninstal.log
%TEMP%\~vis0000\english.vlg
%TEMP%\~vis0000\rollback.log
%WINDIR%\syswow64\mscomctl.ocx
%WINDIR%\syswow64\msinet.ocx
%WINDIR%\syswow64\shdocvw.oca
%WINDIR%\syswow64\mswinsck.ocx
%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\rjbanben.cj
%WINDIR%\rjmch.cj
%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\rjyunxing.exe
%WINDIR%\syswow64\comdlg32.ocx
%WINDIR%\unvise32.exe
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\18ВІВҐВ·ГҐГ¦Г·\Г©ВѕВіГЅ 18ВІВҐВ·ГҐГ¦Г·.lnk

Присваивает атрибут 'скрытый' для следующих файлов

%ProgramFiles(x86)%\18ВІВҐВ·ГҐГ¦Г·\rjbanben.cj

Удаляет следующие файлы

%TEMP%\~vis0000\miscdata.xyz
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\httperrorpagesscripts[1]
%TEMP%\~vis0000\uninstal.log
%TEMP%\~vis0000\uninst32.exe

Подменяет следующие файлы

%LOCALAPPDATA%\Microsoft\Windows\<INETFILES>\Content.IE5\0U8LPYU9\ErrorPageTemplate[1]

Сетевая активность

UDP

DNS ASK tv.##kkkk.com

Другое

Ищет следующие окна

ClassName: 'CabinetWClass' WindowName: '%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\18ВІВҐВ·Г…Г†Г·'
ClassName: 'CabinetWClass' WindowName: '18ВІВҐВ·Г…Г†Г·'

Создает и запускает на исполнение

'C:\sys\sp00lsv.exe'
'%ProgramFiles%\185559~1\rjyunxing.exe' ' (со скрытым окном)
'%ProgramFiles%\185559~1\tvtongji.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""C:\PROGRA~2\185559~1\xiezaidll.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c c:\zi7pxmcv\c3px-ct35.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\PROGRA~2\185559~1\xiezaidll.bat" "
'%WINDIR%\syswow64\regsvr32.exe' /u /s MMCShell.dll
'%WINDIR%\syswow64\cmd.exe' /c c:\zi7pxmcv\c3px-ct35.bat
'%WINDIR%\syswow64\mode.com' con cols=15 lines=1
'%WINDIR%\syswow64\cmd.exe' /c @reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SP00LSjV"
'%WINDIR%\syswow64\reg.exe' query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SP00LSjV"
'%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v SP00LSV /d c:\zi7pxmcv\c3px-ct35.bat /f