Trojan.DownLoader9.40478

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Messenger' = '%WINDIR%\messenger\messenger.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'JSsetup' = '%WINDIR%\system\jssetup\JSsetup.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'sscile.dll'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{C4560D12-CE25-4A2E-A5D4-B5070FCBE282}' = 'csiddll'

Создает или изменяет следующие файлы:

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

'<SYSTEM32>\sc.exe' create jhukpi type= kernel start= auto binpath= "%PROGRAM_FILES%\Uninstall Information\{f248c2c0-496b-4b39-008c-169f696b19f9}\jhukpi.bin"
'<SYSTEM32>\cmd.exe' /c 375519961O57540.bat
'<SYSTEM32>\ping.exe' 127.0.0.1
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\jziqldlsc.bat
'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\taoba_1.dll
'<SYSTEM32>\rundll32.exe' ccy268.dll , InstallMyDll
'<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\sscile.dll
'<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll"
'<SYSTEM32>\sc.exe' create jlxjsr type= kernel binpath= "%PROGRAM_FILES%\Uninstall Information\{f248c2c0-496b-4b39-008c-169f696b19f9}\jlxjsr.bin" start= auto

Ищет следующие окна с целью

обнаружения утилит для анализа:

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Temp\{c547bb08-5321-4bd1-00b0-5ae545f0331f}
<SYSTEM32>\taoba_1.dll
%WINDIR%\repair\yw8177
%TEMP%\375519961O57540.bat
%PROGRAM_FILES%\Internet Explorer\IETimbar\Uninstall.exe
%PROGRAM_FILES%\Internet Explorer\IETimbar\crpop.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\httpf.dat
<SYSTEM32>\Windows.ime
<SYSTEM32>\temp.dll
%WINDIR%\system\jxm6489
%WINDIR%\messenger\messenger.exe
%PROGRAM_FILES%\Uninstall Information\{f248c2c0-496b-4b39-008c-169f696b19f9}\jhukpi.bin
<SYSTEM32>\jziqldlsc.bat
<SYSTEM32>\sqppig.bat
%TEMP%\57540.aqq
%WINDIR%\system\om4263.drv
%WINDIR%\Help\lr4663.hlp
C:\startup_locala.exe
C:\svchost.exe
%TEMP%\explor.exe
%TEMP%\servie.exe
<SYSTEM32>\ccy268.dll
%TEMP%\syseter.exe
%TEMP%\selvice.exe
%TEMP%\spools.exe
%TEMP%\nsk2.tmp
%TEMP%\svehost.exe
%TEMP%\lqbzse.exe
<SYSTEM32>\dllcache\ccy268.dll
<SYSTEM32>\s3s4312.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\IETimbar.dll
%PROGRAM_FILES%\Internet Explorer\IETimbar\vercfg.dat
%PROGRAM_FILES%\Internet Explorer\IETimbar\cfg.dat
%APPDATA%\d43sdf.dat
%WINDIR%\Help\ddx9341.hlp
<SYSTEM32>\sscile.dll
%PROGRAM_FILES%\Uninstall Information\{f248c2c0-496b-4b39-008c-169f696b19f9}\jlxjsr.bin
%TEMP%\3.tmp

Удаляет следующие файлы:

%WINDIR%\Temp\{c547bb08-5321-4bd1-00b0-5ae545f0331f}
%TEMP%\lqbzse.exe
%WINDIR%\repair\yw8177
<SYSTEM32>\lddnhtulzt.bat
%TEMP%\selvice.exe
%PROGRAM_FILES%\Uninstall Information\{f248c2c0-496b-4b39-008c-169f696b19f9}\jhukpi.bin
%PROGRAM_FILES%\Uninstall Information\{f248c2c0-496b-4b39-008c-169f696b19f9}\jlxjsr.bin
%APPDATA%\d43sdf.dat
%TEMP%\3.tmp
%TEMP%\spools.exe
%TEMP%\57540.aqq