Trojan.Loader.1546

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\CXrp] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\CXrp] 'ImagePath' = '%ALLUSERSPROFILE%\CXrp\dot1x.exe'

Создает следующие сервисы

'CXrp' %ALLUSERSPROFILE%\CXrp\dot1x.exe

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\rundll32.exe

следующие пользовательские процессы:

iexplore.exe

Перехватывает функции

в браузерах

Процесс iexplore.exe, модуль wininet.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rarsfx0\dot1x.exe
%TEMP%\rarsfx0\dot1x.1x
%TEMP%\rarsfx0\rastls.dll
%ALLUSERSPROFILE%\cxrp\rastls.dll
%ALLUSERSPROFILE%\cxrp\dot1x.1x
%ALLUSERSPROFILE%\cxrp\dot1x.exe
%ALLUSERSPROFILE%\cxrp\uctosrphggc

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\cxrp\rastls.dll
%ALLUSERSPROFILE%\cxrp\dot1x.1x
%ALLUSERSPROFILE%\cxrp\dot1x.exe

Удаляет следующие файлы

%TEMP%\rarsfx0\dot1x.exe
%TEMP%\rarsfx0\rastls.dll
%TEMP%\rarsfx0\dot1x.1x

Самоудаляется.

Сетевая активность

Подключается к

'<LOCALNET>.55.1':1357
'<LOCALNET>.55.2':1357
'<LOCALNET>.55.3':1357
'<LOCALNET>.55.4':1357
'<LOCALNET>.55.5':1357
'<LOCALNET>.55.6':1357
'<LOCALNET>.55.7':1357
'<LOCALNET>.55.8':1357
'<LOCALNET>.55.9':1357
'<LOCALNET>.55.10':1357
'<LOCALNET>.55.11':1357
'<LOCALNET>.55.12':1357

UDP

DNS ASK ip#.#izgnw.net
DNS ASK DH########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK JP########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK CN########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK LD########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK OA########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK LP########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK HJ########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK FI########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK BJ########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK CP########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK LJ########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK IJ########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
DNS ASK MF########################################LMOHPNJEJKJAOGENKDGNH.DIJHPBGDMFCOIDPLFDPOFPMLDBKIAJHHOMEFLKCBKMAAHHNNEMLACIIGPIGMMBD.NJNPOFHMMCBJBDDJEP.ns1.hizgnw.net
'<LOCALNET>.55.10':1357
'<LOCALNET>.55.11':1357
'<LOCALNET>.55.5':1357
'<LOCALNET>.55.3':1357
'<LOCALNET>.55.4':1357
'<LOCALNET>.55.7':1357
'<LOCALNET>.55.6':1357
'<LOCALNET>.55.8':1357
'<LOCALNET>.55.9':1357
'<LOCALNET>.55.2':1357
'<LOCALNET>.55.1':1357
'<LOCALNET>.55.12':1357

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''
ClassName: 'IEFrame' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\rarsfx0\dot1x.exe'
'%ALLUSERSPROFILE%\cxrp\dot1x.exe'
'%ProgramFiles(x86)%\windows media player\wmplayer.exe' ' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles(x86)%\windows media player\wmplayer.exe'
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\rundll32.exe'