Trojan.DownLoader9.21251

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\wermgr.exe' -queuereporting

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '#32770' WindowName: 'PEiD v0.95'
ClassName: '#32770' WindowName: 'PEiD v0.94'
ClassName: 'OLLYDBG' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\u8hn4RJh.part
<LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\urlclassifier3.sqlite-journal
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\places.sqlite-wal
%TEMP%\nsd92FC.tmp\System.dll
%TEMP%\nsd92FC.tmp\ShellLink.dll
%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\8BWWF41LKLYK8Q97SILC.temp
%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\KJQDDKJNK6NER308YZQX.temp
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite
<Текущая директория>\js.log
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\sessionstore.bak
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\httpErrorPagesScripts[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\ic[1].asp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\navcancl[1]
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs-1.js
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\bullet[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\info_48[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\background_gradient[1]

Удаляет следующие файлы:

<LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\urlclassifier3.sqlite-journal
%APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\downloads.sqlite-journal
%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms~RFc424d.TMP
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\ic[1].asp
%TEMP%\nsd92FC.tmp\ShellLink.dll
%TEMP%\nsd92FC.tmp\System.dll

Перемещает следующие файлы:

%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\KJQDDKJNK6NER308YZQX.temp в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms
%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms~RFc424d.TMP
%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\8BWWF41LKLYK8Q97SILC.temp в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\661ab0ff87cd11.customDestinations-ms

Сетевая активность:

Подключается к:

'localhost':49164
'77####24.ys168.com':80
'fx####s.mozilla.com':80
't.##8.cc':80
'localhost':49161
'if####.ip138.com':80
'localhost':55070
'70##.juplo.com':80
'b.###ne.qq.com':80

TCP:

Запросы HTTP GET:

77####24.ys168.com/
t.##8.cc/iclk/?zo#################
fx####s.mozilla.com/en-US/firefox/headlines.xml
if####.ip138.com/ic.asp
b.###ne.qq.com/cgi-bin/blognew/blog_output_data?ui#############################
70##.juplo.com/vpn/title.txt

UDP:

DNS ASK 77####24.ys168.com
DNS ASK t.##8.cc
DNS ASK fx####s.mozilla.com
DNS ASK if####.ip138.com
DNS ASK b.###ne.qq.com
DNS ASK 70##.juplo.com

Другое:

Ищет следующие окна:

ClassName: 'TRstForm' WindowName: 'Restorator 2007'
ClassName: '' WindowName: 'Microsoft Internet Explorer'
ClassName: 'TMainForm' WindowName: 'PE Explorer'
ClassName: 'OWL_Window' WindowName: 'URSoft W32Dasm Ver 8.93 Program Disassembler/Debugger'
ClassName: '' WindowName: ' - [Enjoy C32asm]'
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'FirefoxMessageWindow' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'OleMainThreadWndClass' WindowName: ''
ClassName: 'fly??OD' WindowName: ''
ClassName: 'ICY????' WindowName: ''
ClassName: 'SND' WindowName: ''
ClassName: '1212121' WindowName: ''
ClassName: 'ODbyDYK' WindowName: ''
ClassName: 'pe--diy' WindowName: ''
ClassName: '#32770' WindowName: 'DFCG SuperVer Import REConstructor v1.6 FINAL'
ClassName: 'OWL_Window' WindowName: 'W32asm?????? jtsnew ???? jtsnew@yahoo.com.cn '
ClassName: '#32770' WindowName: 'Import REConstructor v1.6 F.Fixed ?????????? By CxLrb'
ClassName: 'WHXMDI0' WindowName: ''
ClassName: '#32770' WindowName: '[ LordPE Deluxe ] by yoda'