Trojan.DownLoader9.840

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Protect' = ''
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{R4710UUF-M31R-0C64-MYJ1-4SFOU56H428L}] 'StubPath' = '<SYSTEM32>\snhost\cnvhost.exe Restart'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{R4710UUF-M31R-0C64-MYJ1-4SFOU56H428L}] 'StubPath' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Protect' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Protect' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Protect' = ''

Вредоносные функции:

Создает и запускает на исполнение:

'<LS_APPDATA>\Native\STUBEXE\8.0.1112\@PROGRAMFILES@\Internet Explorer\iexplore.exe'
'<LS_APPDATA>\Native\STUBEXE\8.0.1112\@WINDIR@\explorer.exe'
'<SYSTEM32>\snhost\cnvhost.exe'
'<LS_APPDATA>\Virtual\STUBEXE\8.0.1112\@APPDIR@\isn.exe'
'<LS_APPDATA>\Native\STUBEXE\8.0.1112\@SYSTEM@\cmd.exe' /c ""%TEMP%\1.tmp\isn.bat" "<LS_APPDATA>\""
'<LS_APPDATA>\Native\STUBEXE\8.0.1112\@PROFILE@\Local Settings\Temp\1.tmp\ssn.exe'

Внедряет код в

следующие системные процессы:

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\5f20925ad2c5776d06c97fc8ee4a524c_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\a8cb3137329d642872dd6b2116ec212e_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\9a37938696da2a6a543a9989ea69a4d6_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\549b9b645cadfe6bb4bc69cf363c354c_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\d6f840125dc4ddac70cb827cbd6d13db_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\%USERNAME%7
%TEMP%\%USERNAME%8
%APPDATA%\88E6680F\ak.tmp
%APPDATA%\%USERNAME%-wchelper.dll
%TEMP%\1.tmp\ssn.exe
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\ab7b126e-ae3e-40ea-9b0d-3b128a009bbf
%TEMP%\1.tmp\isn.bat
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
<SYSTEM32>\snhost\cnvhost.exe
%TEMP%\%USERNAME%2.txt
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\682d17b8eddcf3b7627a2a00e1160847_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\c0528c2346cb928a9052304ef3ab8fd4_23ef5514-3059-436f-a4a7-4cefaab20eb1

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

%TEMP%\%USERNAME%2.txt
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\549b9b645cadfe6bb4bc69cf363c354c_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\%USERNAME%7
%TEMP%\%USERNAME%8
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\682d17b8eddcf3b7627a2a00e1160847_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\1.tmp\isn.bat
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\9a37938696da2a6a543a9989ea69a4d6_23ef5514-3059-436f-a4a7-4cefaab20eb1
<SYSTEM32>\snhost\cnvhost.exe

Сетевая активность:

Подключается к: