Trojan.DownLoader9.53658

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\monn\Shell\Open\Command] '' = '"Rundll32.exe" "%WINDIR%\winfiles\infofile.icl" bcanrun'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\winfiles\KAV_97_10.exe'
'%APPDATA%\PPStreamSetup\ppstreamsetup_spl001@sp006.exe'
'%TEMP%\is-LSRKL.tmp\<Имя вируса>.tmp' /SL5="$40036,1167313,51712,<Полный путь к вирусу>"
'%WINDIR%\winfiles\pps_spl001@sp006.exe'
'%APPDATA%\PPStreamSetup\ppstreamsetup_spl001@sp006.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' "%WINDIR%\winfiles\Rerunnow.Rew" Rhaogn
'%WINDIR%\explorer.exe' %ALLUSERSPROFILE%\Start Menu\Programs\Startup

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\si44[1]
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\log\uplive\klivesetup.log
%APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\hg.dat
%TEMP%\nsg3.tmp\System.dll
%TEMP%\nsb2.tmp
%APPDATA%\PPStreamSetup\ppstreamsetup_spl001@sp006.exe.pmv
%TEMP%\nsg3.tmp\NSISdl.dll
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installerc2698593879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2698433879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdown2706873879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2701563879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installer_antivirus2696093879.inf
%APPDATA%\Microsoft\CryptnetUrlCache\Content\0797C381B2F87EB5A1D5573BD15BA4F4
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\0797C381B2F87EB5A1D5573BD15BA4F4
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdone2695003879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2395313879.inf
%WINDIR%\ucmon.lnk
%PROGRAM_FILES%\softguid\is-C8NNE.tmp
%PROGRAM_FILES%\softguid\is-C2PD3.tmp
%WINDIR%\winfiles\Install.tmp
%PROGRAM_FILES%\softguid\unins000.dat
%PROGRAM_FILES%\softguid\is-45LRM.tmp
%TEMP%\is-58T0L.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-LSRKL.tmp\<Имя вируса>.tmp
%TEMP%\is-58T0L.tmp\InstallDll.dll
%TEMP%\is-58T0L.tmp\_isetup\_shfoldr.dll
%WINDIR%\winfiles\serverID.txt
%WINDIR%\winfiles\Rerunnow.Rew
%WINDIR%\winfiles\ucmon.monn
%WINDIR%\winfiles\taobao.ico
%WINDIR%\winfiles\rd.txt
%WINDIR%\winfiles\infofile.tmp
%WINDIR%\winfiles\Config.ini
%WINDIR%\winfiles\pps_spl001@sp006.exe
%WINDIR%\winfiles\KAV_97_10.exe

Удаляет следующие файлы:

%TEMP%\is-58T0L.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-58T0L.tmp\_isetup\_shfoldr.dll
%TEMP%\is-LSRKL.tmp\<Имя вируса>.tmp
%TEMP%\nsg3.tmp\NSISdl.dll
%TEMP%\nsg3.tmp\System.dll
%TEMP%\is-58T0L.tmp\InstallDll.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\softguid\is-C8NNE.tmp в %PROGRAM_FILES%\softguid\Install.tmp
%APPDATA%\PPStreamSetup\ppstreamsetup_spl001@sp006.exe.pmv в %APPDATA%\PPStreamSetup\ppstreamsetup_spl001@sp006.exe
%PROGRAM_FILES%\softguid\is-45LRM.tmp в %PROGRAM_FILES%\softguid\unins000.exe
%PROGRAM_FILES%\softguid\is-C2PD3.tmp в %PROGRAM_FILES%\softguid\InstallDll.dll

Сетевая активность:

Подключается к:

'crl.verisign.com':80
'wp#d':80
'in##.duba.net':80
'cs#######-2-crl.verisign.com':80
'localhost':1039
'do#####d.ppstream.com':80
'www.yi###anju.com':8080
'www.si##.com':80

TCP:

Запросы HTTP GET:

crl.verisign.com/pca3.crl
cs#######-2-crl.verisign.com/CSC3-2009-2.crl
in##.duba.net/pagetracer4Unencrypt/duba/__utm.gif?ty######################################################################################################################################################################################
do#####d.ppstream.com/hz/ppstreamsetup_spl001@sp006.exe
www.si##.com/
wp#d/wpad.dat

UDP: