Trojan.DownLoader8.63133

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'explore32' = '"%HOMEPATH%\My Documents\win32\explore32.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'teamci' = '"%HOMEPATH%\My Documents\win32\teamci.exe"'

Вредоносные функции:

Создает и запускает на исполнение:

'%HOMEPATH%\My Documents\win32\logupdate.exe' 0
'%HOMEPATH%\My Documents\win32\wbcm.exe' 0
'%HOMEPATH%\My Documents\win32\taseron.exe' 0
'%HOMEPATH%\temp\TeamViewer3\TeamViewer.exe' --qsc --pw "cGFyYWRpc2U="
'%HOMEPATH%\temp\TeamViewer3\TeamViewer_.exe'
'%HOMEPATH%\My Documents\win32\Team.exe'
'%TEMP%\RarSFX1\deploy.exe'
'<SYSTEM32>\trionelsystem.exe'
'<SYSTEM32>\Kritik System Dosyası.exe'
'%HOMEPATH%\My Documents\win32\systemsys.exe' 0
'%HOMEPATH%\My Documents\win32\explore32.exe' 0
'%HOMEPATH%\My Documents\win32\teamci.exe' 0

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\RarSFX1\yeni.jpg
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\RarSFX0\yeni.jpg

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\My Documents\win32\teamhatasi.txt
%HOMEPATH%\My Documents\win32\puff\.teamhatasi.txt
%HOMEPATH%\My Documents\win32\s.jpg
%HOMEPATH%\temp\TeamViewer3\TeamViewer_.exe
%TEMP%\nse4.tmp\GetVersion.dll
%TEMP%\nsw7.tmp\GetVersion.dll
%TEMP%\nsw7.tmp\System.dll
%TEMP%\nse4.tmp\System.dll
%HOMEPATH%\temp\TeamViewer3\TeamViewer.exe
%HOMEPATH%\My Documents\win32\logupdate.txt
%HOMEPATH%\My Documents\win32\yeni.jpg
%HOMEPATH%\My Documents\win32\TeamCIlog.txt
%HOMEPATH%\My Documents\win32\teamci.exe
%HOMEPATH%\My Documents\win32\wbcm.exe
%HOMEPATH%\My Documents\win32\explore32log.txt
%HOMEPATH%\My Documents\win32\keys.htm
%HOMEPATH%\My Documents\win32\puff\.keys.htm
%HOMEPATH%\My Documents\win32\taseronlog.txt
%HOMEPATH%\My Documents\win32\wbcm.txt
%HOMEPATH%\temp\TeamViewer3\TeamViewer_Service.exe
%TEMP%\nsiC.tmp\System.dll
%TEMP%\nsiC.tmp\Base64.dll
%APPDATA%\TeamViewer\TeamViewer3_Logfile.log
%TEMP%\nsiC.tmp\GetVersion.dll
%HOMEPATH%\My Documents\win32\teamlog.txt
%HOMEPATH%\My Documents\win32\puff\.pcbilgileri.txt
%HOMEPATH%\My Documents\win32\ipLoc.txt
%HOMEPATH%\My Documents\win32\puff\.s.jpg
%HOMEPATH%\My Documents\win32\pcbilgileri.txt
%HOMEPATH%\temp\TeamViewer3\logo.bmp
%HOMEPATH%\temp\TeamViewer3\TeamViewer.ini
%HOMEPATH%\temp\TeamViewer3\SAS.exe
%HOMEPATH%\temp\TeamViewer3\TV.dll
%TEMP%\nsw7.tmp\Base64.dll
%TEMP%\nsgA.tmp\System.dll
%TEMP%\nsgA.tmp\Base64.dll
%TEMP%\nse4.tmp\Base64.dll
%TEMP%\nsgA.tmp\GetVersion.dll
%HOMEPATH%\My Documents\win32\Team.exe
%TEMP%\RarSFX0\yeni.jpg
%TEMP%\RarSFX1\DirectShowLib.dll
%TEMP%\RarSFX1\Interop.SpeechLib.dll
%TEMP%\RarSFX0\wbcm.exe
%TEMP%\RarSFX0\deploy.exe
%TEMP%\RarSFX0\taseron.exe
%TEMP%\RarSFX0\fsysx.dll
%TEMP%\RarSFX1\logupdate.exe
%TEMP%\RarSFX0\explore32.exe
%TEMP%\RarSFX0\teamci.exe
<SYSTEM32>\trionelsystem.exe
%TEMP%\RarSFX0\hesap.txt
<SYSTEM32>\Kritik System Dosyası.exe
<SYSTEM32>\system32reflector.exe
%TEMP%\RarSFX0\Interop.SpeechLib.dll
%TEMP%\RarSFX0\Team.exe
%TEMP%\RarSFX1\hesap.txt
%TEMP%\RarSFX0\DirectShowLib.dll
%TEMP%\RarSFX0\logupdate.exe
%TEMP%\RarSFX0\systemsys.exe
%HOMEPATH%\My Documents\win32\explore32.exe
%HOMEPATH%\My Documents\win32\fsysx.dll
%HOMEPATH%\My Documents\win32\deploy.exe
%HOMEPATH%\My Documents\win32\DirectShowLib.dll
%HOMEPATH%\My Documents\win32\hesap.txt
%HOMEPATH%\My Documents\win32\systemsys.exe
%HOMEPATH%\My Documents\win32\taseron.exe
%HOMEPATH%\My Documents\win32\Interop.SpeechLib.dll
%HOMEPATH%\My Documents\win32\logupdate.exe
%HOMEPATH%\My Documents\win32\deploylog.txt
%TEMP%\RarSFX1\wbcm.exe
%TEMP%\RarSFX1\yeni.jpg
%TEMP%\RarSFX1\Team.exe
%TEMP%\RarSFX1\teamci.exe
%TEMP%\RarSFX1\deploy.exe
%TEMP%\RarSFX1\fsysx.dll
%TEMP%\RarSFX1\systemsys.exe
%TEMP%\RarSFX1\explore32.exe
%TEMP%\RarSFX1\taseron.exe

Удаляет следующие файлы:

%TEMP%\nse4.tmp\Base64.dll
%TEMP%\nse4.tmp\GetVersion.dll
%TEMP%\nse4.tmp\System.dll
%TEMP%\nsw7.tmp\Base64.dll
%TEMP%\nsw7.tmp\GetVersion.dll
%TEMP%\nsw7.tmp\System.dll
%HOMEPATH%\temp\TeamViewer3\logo.bmp
%TEMP%\nsiC.tmp\Base64.dll
%TEMP%\nsiC.tmp\GetVersion.dll
%TEMP%\nsiC.tmp\System.dll
%TEMP%\nsgA.tmp\Base64.dll
%TEMP%\nsgA.tmp\GetVersion.dll
%TEMP%\nsgA.tmp\System.dll
%TEMP%\RarSFX1\fsysx.dll
%TEMP%\RarSFX1\hesap.txt
%TEMP%\RarSFX1\Interop.SpeechLib.dll
%TEMP%\RarSFX1\deploy.exe
%TEMP%\RarSFX1\DirectShowLib.dll
%TEMP%\RarSFX1\explore32.exe
%TEMP%\RarSFX1\logupdate.exe
%TEMP%\RarSFX1\teamci.exe
%TEMP%\RarSFX1\wbcm.exe
%TEMP%\RarSFX1\yeni.jpg
%TEMP%\RarSFX1\systemsys.exe
%TEMP%\RarSFX1\taseron.exe
%TEMP%\RarSFX1\Team.exe

Сетевая активность:

Подключается к:

'ma####.dyngate.com':80
'tr##jan.com':21
'ma####2.dyngate.com':80
'wp#d':80
'tr##jan.com':80
'74.##5.232.51':80

TCP:

Запросы HTTP GET:

ma####.dyngate.com/din.aspx?s=#####################################################
ma####.dyngate.com/din.aspx?s=#############################################################
tr##jan.com/users/poyraz/aktifmi.txt
ma####2.dyngate.com/din.aspx?s=#####################################################
tr##jan.com/resim/ipne.aspx?pc############################################
tr##jan.com/users/?ms####################################################
wp#d/wpad.dat
74.##5.232.51/
tr##jan.com/users/default.aspx?ms##############################################
tr##jan.com/users/poyraz/xcode.txt

UDP: