Trojan.DownLoader9.8622

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'csiddll'

Создает следующие сервисы:

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

Создает и запускает на исполнение:

Запускает на исполнение:

'<SYSTEM32>\wscript.exe' "%ALLUSERSPROFILE%\Tghjg\3.vbs"
'%WINDIR%\explorer.exe'
'<SYSTEM32>\cmd.exe' /c 375519961O57540.bat
'<SYSTEM32>\sc.exe' create ofpvmu type= kernel start= auto binpath= "%PROGRAM_FILES%\Uninstall Information\{05e5eb6f-c56a-42ee-009e-553953a86b93}\ofpvmu.bin"
'<SYSTEM32>\sc.exe' create thruwv type= kernel binpath= "%PROGRAM_FILES%\Uninstall Information\{05e5eb6f-c56a-42ee-009e-553953a86b93}\thruwv.bin" start= auto
'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\tata_1.dll
'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\ovaxz.dll
'<SYSTEM32>\wscript.exe' "C:\Documen\3.vbs"
'<SYSTEM32>\rundll32.exe' ovax9.dll , InstallMyDll
'<SYSTEM32>\ping.exe' 127.0.0.1
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\tegapcd.bat

Изменения в файловой системе:

Создает следующие файлы:

C:\Documen\375519961O57540.bat
%ALLUSERSPROFILE%\Tghjg\hgjfgft.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lin[1].htm
C:\Documen\57540.aqq
%ALLUSERSPROFILE%\Tghjg\Qvodplus_259_zzp.exe
<SYSTEM32>\OemWpsSetup20.98.exe
<SYSTEM32>\OemWpsSetup20.98.exe_0
%ALLUSERSPROFILE%\Tghjg\3.vbs
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\az[1].php
%WINDIR%\repair\vv3938
%WINDIR%\Help\ttp4799
%PROGRAM_FILES%\Uninstall Information\{05e5eb6f-c56a-42ee-009e-553953a86b93}\ofpvmu.bin
%WINDIR%\msapps\ap4379.nfo
%WINDIR%\Web\cw6626.htt
%TEMP%\1.tmp
%WINDIR%\repair\mpl5495
%WINDIR%\Temp\{9d0885e0-025e-49ea-00bd-2ad16f1287cd}
%PROGRAM_FILES%\Uninstall Information\{05e5eb6f-c56a-42ee-009e-553953a86b93}\thruwv.bin
<SYSTEM32>\dllcache\ovax9.dll
<SYSTEM32>\ovax9.dll
%TEMP%\RarSFX0\ioiiii.exe
<SYSTEM32>\ovaxz.dll
C:\Documen\5.exe
C:\Documen\9009.exe
C:\Documen\3.vbs
C:\Documen\1027345.exe
C:\Documen\small.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\image[1].jpg
<SYSTEM32>\OemWpsSetup20.98.exe_1
<SYSTEM32>\hhcmd.exe
<SYSTEM32>\OemWpsSetup20.98.exe_3
<SYSTEM32>\OemWpsSetup20.98.exe_2
<SYSTEM32>\tata_1.dll
<SYSTEM32>\vlblwo.bat
<SYSTEM32>\zfzjrgu.exe
<SYSTEM32>\Dofake.exe
<SYSTEM32>\tegapcd.bat

Удаляет следующие файлы:

%PROGRAM_FILES%\Uninstall Information\{05e5eb6f-c56a-42ee-009e-553953a86b93}\thruwv.bin
C:\Documen\small.exe
C:\Documen\57540.aqq
%TEMP%\1.tmp
%WINDIR%\Temp\{9d0885e0-025e-49ea-00bd-2ad16f1287cd}
%ALLUSERSPROFILE%\Tghjg\hgjfgft.exe
%PROGRAM_FILES%\Uninstall Information\{05e5eb6f-c56a-42ee-009e-553953a86b93}\ofpvmu.bin
<SYSTEM32>\OemWpsSetup20.98.exe_3
<SYSTEM32>\krmlkfxw.bat
C:\Documen\1027345.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\image[1].jpg
<SYSTEM32>\Dofake.exe
<SYSTEM32>\OemWpsSetup20.98.exe_2
<SYSTEM32>\OemWpsSetup20.98.exe_1
<SYSTEM32>\OemWpsSetup20.98.exe_0