Trojan.DownLoader9.14174

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '08f4dc96bbb7af09d1a37fe35c75a42f' = '"%TEMP%\explorer.exe" ..'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '08f4dc96bbb7af09d1a37fe35c75a42f' = '"%TEMP%\explorer.exe" ..'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\08f4dc96bbb7af09d1a37fe35c75a42f.exe

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\08f4dc96bbb7af09d1a37fe35c75a42f.exe

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\explorer.exe' = '%TEMP%\explorer.exe:*:Enabled:explorer.exe'

Создает и запускает на исполнение:

'%TEMP%\psiphon3-plonk.exe' -ssh -C -N -batch -P 465 -z -Z 726495e174c0b1de2d2b67937ed993cef4dc6bb33815d101394caefd001e92f4 -l psiphon_ssh_65e16e4d4d42c8bb -pw DF8E793F7C3E95E1F5BB40E72F718146d60322c40e97f1105b5b9ad53fbbf39c43a6c9f31a6ef278e100680492edbe2c -D 1080 198.58.103.106
'%TEMP%\psiphon3-plonk.exe' -ssh -C -N -batch -P 465 -z -Z 2c331fc060d78626d53ec02aca1b89389b8abe4798962cb4b3485f4650bbcd67 -l psiphon_ssh_1afcaabfd6245702 -pw 6A42AA23C139D2DBCBBB9D19B9D8D2481d5a29ac9ba1f717e21474fee61dd0ba6fcf0d46eed35cb112943e42844c08d5 -D 1080 106.187.36.205
'%TEMP%\psiphon3-plonk.exe' -ssh -C -N -batch -P 465 -z -Z 726495e174c0b1de2d2b67937ed993cef4dc6bb33815d101394caefd001e92f4 -l psiphon_ssh_65e16e4d4d42c8bb -pw 232318D4A5D34A0AC57D5CBB483FBB8Fd60322c40e97f1105b5b9ad53fbbf39c43a6c9f31a6ef278e100680492edbe2c -D 1080 198.58.103.106
'%TEMP%\psiphon3-plonk.exe' -ssh -C -N -batch -P 465 -z -Z 2c331fc060d78626d53ec02aca1b89389b8abe4798962cb4b3485f4650bbcd67 -l psiphon_ssh_1afcaabfd6245702 -pw F21AB205EDB8EBEBDBBB1C97730082771d5a29ac9ba1f717e21474fee61dd0ba6fcf0d46eed35cb112943e42844c08d5 -D 1080 106.187.36.205
'%TEMP%\psiphon3-plonk.exe' -ssh -C -N -batch -P 465 -z -Z 726495e174c0b1de2d2b67937ed993cef4dc6bb33815d101394caefd001e92f4 -l psiphon_ssh_65e16e4d4d42c8bb -pw 04E1413F8306C09FC0725E2FECA2E932d60322c40e97f1105b5b9ad53fbbf39c43a6c9f31a6ef278e100680492edbe2c -D 1080 198.58.103.106
'%PROGRAM_FILES%\psi.exe'
'%PROGRAM_FILES%\psiphon3.exe'
'%TEMP%\explorer.exe'
'%TEMP%\psiphon3-plonk.exe' -ssh -C -N -batch -P 465 -z -Z 2c331fc060d78626d53ec02aca1b89389b8abe4798962cb4b3485f4650bbcd67 -l psiphon_ssh_1afcaabfd6245702 -pw 759A493FC50298D678127F192D54A5551d5a29ac9ba1f717e21474fee61dd0ba6fcf0d46eed35cb112943e42844c08d5 -D 1080 106.187.36.205

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\explorer.exe" "explorer.exe" ENABLE

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\explorer.exe
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
<LS_APPDATA>\PUTTY.RND
%PROGRAM_FILES%\psi.exe
%PROGRAM_FILES%\psiphon3.exe
%TEMP%\psiphon3-plonk.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<Имя диска съемного носителя>:\08f4dc96bbb7af09d1a37fe35c75a42f.exe

Перемещает следующие файлы:

%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch

Сетевая активность:

Подключается к: