Trojan.DownLoader9.21885

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\RFSFDCE.tmp\rfwipeout.exe' ii
'%TEMP%\t13.php'
'%TEMP%\lwpwer.exe'
'%TEMP%\Setup_ver1.1820.0.exe'
'%TEMP%\AiRoboForm.exe'
'%TEMP%\t13.php' (загружен из сети Интернет)
'%TEMP%\lwpwer.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c %TEMP%\t13.php.bat
'<SYSTEM32>\cmd.exe' /c %TEMP%\lwpwer.exe.bat

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RFSFDCE.tmp\license-nl.txt
%TEMP%\RFSFDCE.tmp\nl-Dutch.rfi
%TEMP%\RFSFDCE.tmp\lt-Lithuanian.rfi
%TEMP%\RFSFDCE.tmp\kr-Korean.rfi
%TEMP%\RFSFDCE.tmp\license-lt.txt
%TEMP%\RFSFDCE.tmp\license-pl.txt
%TEMP%\RFSFDCE.tmp\pl-Polish.rfi
%TEMP%\RFSFDCE.tmp\no-Norwegian.rfi
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\up[1].php
%TEMP%\lwpwer.exe
%TEMP%\RFSFDCE.tmp\hr-Croatian.rfi
%TEMP%\RFSFDCE.tmp\hu-Hungarian.rfi
%TEMP%\RFSFDCE.tmp\license-hr.txt
%TEMP%\RFSFDCE.tmp\license-he.txt
%TEMP%\RFSFDCE.tmp\he-Hebrew.rfi
%TEMP%\RFSFDCE.tmp\jp-Japanese.rfi
%TEMP%\RFSFDCE.tmp\license-kr.txt
%TEMP%\RFSFDCE.tmp\license-jp.txt
%TEMP%\RFSFDCE.tmp\license-it.txt
%TEMP%\RFSFDCE.tmp\it-Italian.rfi
%TEMP%\t13.php.bat
%TEMP%\RFSFDCE.tmp\license-zh.txt
%TEMP%\RFSFDCE.tmp\zh-Chinese.rfi
%TEMP%\RFSFDCE.tmp\ua-Ukrainian.rfi
%TEMP%\RFSFDCE.tmp\tr-Turkish.rfi
%TEMP%\RFSFDCE.tmp\license-ua.txt
%TEMP%\t13.php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\t13[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\t13[1].php
%TEMP%\RFSFDCE.tmp\affid.txt
%PROGRAM_FILES%\Siber Systems\AI RoboForm\_x.xxx
%TEMP%\RFSFDCE.tmp\sb-Serbian.rfi
%TEMP%\RFSFDCE.tmp\license-sc.txt
%TEMP%\RFSFDCE.tmp\license-sb.txt
%TEMP%\RFSFDCE.tmp\license-ru.txt
%TEMP%\RFSFDCE.tmp\ru-Russian.rfi
%TEMP%\RFSFDCE.tmp\sk-Slovak.rfi
%TEMP%\RFSFDCE.tmp\license-tr.txt
%TEMP%\RFSFDCE.tmp\se-Swedish.rfi
%TEMP%\RFSFDCE.tmp\sc-Serbian.rfi
%TEMP%\RFSFDCE.tmp\license-se.txt
%TEMP%\RFSFDCE.tmp\fr-French.rfi
%TEMP%\RFSFDCE.tmp\dndhandle.gif
%TEMP%\RFSFDCE.tmp\rfmozhlp.dll
%TEMP%\RFSFDCE.tmp\passwordgenerator.exe
%TEMP%\RFSFDCE.tmp\safenotes.exe
%TEMP%\RFSFDCE.tmp\passcards.exe
%TEMP%\RFSFDCE.tmp\Firefox\components\rfproxy_19.xpt
%TEMP%\RFSFDCE.tmp\Firefox\components\rfproxy_19.dll
%TEMP%\RFSFDCE.tmp\Firefox\chrome\roboform.jar
%TEMP%\RFSFDCE.tmp\Firefox\install.rdf
%TEMP%\RFSFDCE.tmp\Firefox\chrome.manifest
%TEMP%\RFSFDCE.tmp\rfwipeout.exe
%TEMP%\RFSFDCE.tmp\install.bmp
%TEMP%\_rf.log
%TEMP%\Setup_ver1.1820.0.exe
%TEMP%\AiRoboForm.exe
%TEMP%\RFSFDCE.tmp\robotaskbaricon.exe
%TEMP%\RFSFDCE.tmp\identities.exe
%TEMP%\lwpwer.exe.bat
%TEMP%\RFSFDCE.tmp\roboform.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\confirm[1].php
%TEMP%\RFSFDCE.tmp\Firefox\components\rfproxy_27.xpt
%TEMP%\RFSFDCE.tmp\license-dk.txt
%TEMP%\RFSFDCE.tmp\dk-Danish.rfi
%TEMP%\RFSFDCE.tmp\de-German.rfi
%TEMP%\RFSFDCE.tmp\cz-Czech.rfi
%TEMP%\RFSFDCE.tmp\license-de.txt
%TEMP%\RFSFDCE.tmp\fi-Finnish.rfi
%TEMP%\RFSFDCE.tmp\license-fr.txt
%TEMP%\RFSFDCE.tmp\license-fi.txt
%TEMP%\RFSFDCE.tmp\license-es.txt
%TEMP%\RFSFDCE.tmp\es-Spanish.rfi
%TEMP%\RFSFDCE.tmp\license-ar.txt
%TEMP%\RFSFDCE.tmp\ar-Arabic.rfi
%TEMP%\RFSFDCE.tmp\en-english.rfi
%TEMP%\RFSFDCE.tmp\Firefox\components\rfproxy_27.dll
%TEMP%\RFSFDCE.tmp\license-en.txt
%TEMP%\RFSFDCE.tmp\cn-Chinese.rfi
%TEMP%\RFSFDCE.tmp\license-cz.txt
%TEMP%\RFSFDCE.tmp\license-cn.txt
%TEMP%\RFSFDCE.tmp\license-br.txt
%TEMP%\RFSFDCE.tmp\br-Brasilian.rfi

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\t13[1].php
%PROGRAM_FILES%\Siber Systems\AI RoboForm\_x.xxx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\confirm[1].php

Сетевая активность:

Подключается к:

'vi#####cright--2.com':80
'se####-reason.com':80
'64.##7.39.247':80

TCP:

Запросы HTTP GET:

vi#####cright--2.com/t13.php
se####-reason.com/up.php?ad########
64.##7.39.247/confirm.php?ai#################################################################################

UDP: