Trojan.DownLoader9.51046

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\At1.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\CryptSvrBySystem] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\wzdgj.exe' /service
'<SYSTEM32>\wzdgj.exe'
'<SYSTEM32>\dawtq.exe'
'%TEMP%\Messenger\setup.exe' m1_ss
'%TEMP%\Messenger\iexplorer.exe' HELLO_E7848FBB-831E-43a4-AEEE-71C0A3C52EEA_SP

Запускает на исполнение:

'<SYSTEM32>\net1.exe' start Schedule
'<SYSTEM32>\at.exe' 17:26 "%TEMP%\Messenger\cp.bat"
'<SYSTEM32>\net1.exe' start CryptSvrBySystem
'<SYSTEM32>\sc.exe' config Schedule start= AUTO

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\sol_start.exe
%PROGRAM_FILES%\Windows NT\Pinball\PINBALL_start.exe
<SYSTEM32>\winmine_start.exe
<SYSTEM32>\spider_start.exe
%PROGRAM_FILES%\Movie Maker\moviemk_start.exe
%PROGRAM_FILES%\Messenger\msmsgs_start.exe
%PROGRAM_FILES%\MSN\MSNCoreFiles\Install\msnsusii_start.exe
%PROGRAM_FILES%\MSN Gaming Zone\Windows\shvlzm_start.exe
<SYSTEM32>\mshearts_start.exe
<SYSTEM32>\freecell_start.exe
%WINDIR%\Microsoft.NET\Framework\v1.1.4322\ConfigWizards_start.exe
%PROGRAM_FILES%\MSN Gaming Zone\Windows\bckgzm_start.exe
%PROGRAM_FILES%\MSN Gaming Zone\Windows\Rvsezm_start.exe
%PROGRAM_FILES%\MSN Gaming Zone\Windows\hrtzzm_start.exe
%PROGRAM_FILES%\MSN Gaming Zone\Windows\chkrzm_start.exe
<SYSTEM32>\control_start.exe
<SYSTEM32>\mobsync_start.exe
<SYSTEM32>\notepad_start.exe
%PROGRAM_FILES%\Windows Media Player\wmplayer_start.exe
<SYSTEM32>\tourstart_start.exe
<SYSTEM32>\rcimlby_start.exe
%PROGRAM_FILES%\Outlook Express\msimn_start.exe
%PROGRAM_FILES%\Internet Explorer\IEXPLORE_start.exe
<SYSTEM32>\cmd_start.exe
<SYSTEM32>\magnify_start.exe
C:\Far2\Far_start.exe
<SYSTEM32>\wupdmgr_start.exe
<SYSTEM32>\narrator_start.exe
%PROGRAM_FILES%\Outlook Express\wab_start.exe
<SYSTEM32>\utilman_start.exe
<SYSTEM32>\osk_start.exe
<SYSTEM32>\odbcad32_start.exe
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\update[1].htm
<SYSTEM32>\adorder.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gt[1].asp
%WINDIR%\Temp\Messenger\vycfi.ini
%WINDIR%\Temp\Messenger\kbietmp2.ini
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\index[1].htm
%TEMP%\Messenger\cp.bat
<SYSTEM32>\mssrcid.ini
%TEMP%\Messenger\nvmctray.dll
%TEMP%\Messenger\iexplorer.exe
%TEMP%\Messenger\cc.exe
%TEMP%\Messenger\nvsys.ini
%TEMP%\Messenger\sysvc.dat
%TEMP%\Messenger\sysmain.dat
%TEMP%\Messenger\setup.exe
<SYSTEM32>\accwiz_start.exe
<SYSTEM32>\cleanmgr_start.exe
<SYSTEM32>\charmap_start.exe
<SYSTEM32>\ntbackup_start.exe
<SYSTEM32>\usmt\migwiz_start.exe
%PROGRAM_FILES%\Windows NT\Accessories\wordpad_start.exe
<SYSTEM32>\Restore\rstrui_start.exe
%CommonProgramFiles%\Microsoft Shared\MSInfo\msinfo32_start.exe
<SYSTEM32>\mspaint_start.exe
%WINDIR%\explorer_start.exe
%PROGRAM_FILES%\Windows NT\hypertrm_start.exe
<SYSTEM32>\calc_start.exe
<SYSTEM32>\rundll32_start.exe
<SYSTEM32>\sndvol32_start.exe
<SYSTEM32>\sndrec32_start.exe
<SYSTEM32>\mstsc_start.exe

Удаляет следующие файлы:

%WINDIR%\Tasks\At1.job
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gt[1].asp

Перемещает следующие файлы:

%TEMP%\Messenger\sysmain.dat в <SYSTEM32>\dawtq.exe
%TEMP%\Messenger\nvsys.ini в <SYSTEM32>\ebxur.ini
%TEMP%\Messenger\sysvc.dat в <SYSTEM32>\wzdgj.exe

Сетевая активность:

Подключается к:

'www.ba##upn.cn':80

TCP:

Запросы HTTP GET:

www.ba##upn.cn/up/update.htm
www.ba##upn.cn/myconfig/index.htm
www.ba##upn.cn/page/gt.asp?ve##############################################################################################
www.ba##upn.cn/page/gt.asp?ve#################################

UDP: