Trojan.DownLoader9.59884

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\sys2ll] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\win2ll] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\RPC32] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'C:\WINNT\system32\sys32\odx2e3\win2ll.exe'
'C:\WINNT\system32\sys32\odx2e3\FireDaemon.exe' -i sys2ll "C:\WINNT\system32\sys32\odx2e3" "C:\WINNT\system32\sys32\odx2e3\sys2ll.exe" "-opt" Y 0 0 N Y
'C:\WINNT\system32\sys32\odx2e3\sys2ll.exe' -opt
'C:\WINNT\system32\sys32\odx2e3\FireDaemon.exe' -i win2ll "C:\WINNT\system32\sys32\odx2e3" "C:\WINNT\system32\sys32\odx2e3\win2ll.exe" "C:\WINNT\system32\sys32\odx2e3\sys2k.dll" Y 0 0 N Y
'C:\WINNT\system32\sys32\odx2e3\FireDaemon.exe'
'C:\WINNT\system32\sys32\odx2e3\win2ll.exe' C:\WINNT\system32\sys32\odx2e3\sys2k.dll

Запускает на исполнение:

'<SYSTEM32>\net1.exe' share /delete P$ /y
'<SYSTEM32>\net1.exe' share /delete O$ /y
'<SYSTEM32>\net1.exe' share /delete Q$ /y
'<SYSTEM32>\net1.exe' share /delete S$ /y
'<SYSTEM32>\net1.exe' share /delete R$ /y
'<SYSTEM32>\net1.exe' share /delete J$ /y
'<SYSTEM32>\net1.exe' share /delete I$ /y
'<SYSTEM32>\net1.exe' share /delete K$ /y
'<SYSTEM32>\net1.exe' share /delete N$ /y
'<SYSTEM32>\net1.exe' share /delete L$ /y
'<SYSTEM32>\attrib.exe' +h +s C:\WINNT\system32\sys32
'<SYSTEM32>\net1.exe' share /delete Y$ /y
'<SYSTEM32>\attrib.exe' +h +s C:\WINNT\system32\sys32\odx2e3
'<SYSTEM32>\attrib.exe' -h -s C:\WINNT\system32\sys32\odx2e3\sys2k.dll
'<SYSTEM32>\attrib.exe' +h +s C:\WINNT\system32\sys32\odx2e3\*.*
'<SYSTEM32>\net1.exe' share /delete U$ /y
'<SYSTEM32>\net1.exe' share /delete T$ /y
'<SYSTEM32>\net1.exe' share /delete V$ /y
'<SYSTEM32>\net1.exe' share /delete X$ /y
'<SYSTEM32>\net1.exe' share /delete W$ /y
'<SYSTEM32>\net1.exe' share /delete H$ /y
'<SYSTEM32>\net.exe' stop msnet
'<SYSTEM32>\net1.exe' stop startupdll
'<SYSTEM32>\net1.exe' stop msnet
'<SYSTEM32>\net1.exe' stop drvmanager
'<SYSTEM32>\net.exe' stop drvmanager
'%WINDIR%\regedit.exe' /s sys.reg
'<SYSTEM32>\cmd.exe' /c ""C:\WINNT\system32\sys32\odx2e3\start.bat" "
'<SYSTEM32>\net1.exe' start win2ll
'<SYSTEM32>\net.exe' stop startupdll
'<SYSTEM32>\net1.exe' start sys2ll
'<SYSTEM32>\net1.exe' share /delete D$ /y
'<SYSTEM32>\net1.exe' share /delete C$ /y
'<SYSTEM32>\net1.exe' share /delete E$ /y
'<SYSTEM32>\net1.exe' share /delete G$ /y
'<SYSTEM32>\net1.exe' share /delete F$ /y
'<SYSTEM32>\net1.exe' share /delete ADMIN$ /y
'<SYSTEM32>\secedit.exe' /configure /areas USER_RIGHTS /db C:\winnt\temp\temp.mdb /CFG temp
'<SYSTEM32>\net1.exe' share /delete IPC$ /y
'<SYSTEM32>\net1.exe' share /delete IPC$
'<SYSTEM32>\net1.exe' share /delete ADMIN$

Изменения в файловой системе:

Создает следующие файлы:

C:\WINNT\system32\sys32\odx2e3\r0x.pid
%TEMP%\WERa9d4.dir00\FireDaemon.EXE.hdmp
C:\WINNT\system32\sys32\odx2e3\win2ll.exe
%TEMP%\WERa9d4.dir00\FireDaemon.EXE.mdmp
C:\WINNT\system32\sys32\odx2e3\r0x.state.tmp
%TEMP%\WERa9d4.dir00\appcompat.txt
%TEMP%\WERdb73.dir00\appcompat.txt
%TEMP%\WERdb73.dir00\manifest.txt
C:\WINNT\system32\temp
%TEMP%\WERa9d4.dir00\manifest.txt
%TEMP%\WERdb73.dir00\FireDaemon.EXE.mdmp
%TEMP%\WERdb73.dir00\FireDaemon.EXE.hdmp
C:\WINNT\system32\sys32\odx2e3\TZOLIBR.DLL
C:\WINNT\system32\sys32\odx2e3\DBMSSON.DLL
C:\WINNT\system32\sys32\odx2e3\dll32.bat
C:\WINNT\system32\sys32\odx2e3\FireDaemon.exe
C:\WINNT\system32\sys32\odx2e3\cygcrypt-0.dll
C:\WINNT\system32\sys32\odx2e3\cygwin1.dll
C:\WINNT\system32\sys32\odx2e3\dbhelp.dll
C:\WINNT\system32\sys32\odx2e3\Secedit.exe
C:\WINNT\system32\sys32\odx2e3\sys2k.dll
C:\WINNT\system32\sys32\odx2e3\sys2ll.exe
C:\WINNT\system32\sys32\odx2e3\sys.reg
C:\WINNT\system32\sys32\odx2e3\secure.exe
C:\WINNT\system32\sys32\odx2e3\serv-u.ini
C:\WINNT\system32\sys32\odx2e3\start.bat

Присваивает атрибут 'скрытый' для следующих файлов:

C:\WINNT\system32\sys32\odx2e3\start.bat
C:\WINNT\system32\sys32\odx2e3\sys.reg
C:\WINNT\system32\sys32\odx2e3\secure.exe
C:\WINNT\system32\sys32\odx2e3\serv-u.ini
C:\WINNT\system32\sys32\odx2e3\TZOLIBR.DLL
C:\WINNT\system32\sys32\odx2e3\win2ll.exe
C:\WINNT\system32\sys32\odx2e3\sys2k.dll
C:\WINNT\system32\sys32\odx2e3\sys2ll.exe
C:\WINNT\system32\sys32\odx2e3\DBMSSON.DLL
C:\WINNT\system32\sys32\odx2e3\dll32.bat
C:\WINNT\system32\sys32\odx2e3\cygcrypt-0.dll
C:\WINNT\system32\sys32\odx2e3\cygwin1.dll
C:\WINNT\system32\sys32\odx2e3\r0x.state
C:\WINNT\system32\sys32\odx2e3\Secedit.exe
C:\WINNT\system32\sys32\odx2e3\FireDaemon.exe
C:\WINNT\system32\sys32\odx2e3\r0x.pid

Удаляет следующие файлы:

<SYSTEM32>\CatRoot2\edb0000D.log
<SYSTEM32>\CatRoot2\edb0000E.log
%WINDIR%\SoftwareDistribution\DataStore\Logs\res2.log
<SYSTEM32>\CatRoot2\edb.log
<SYSTEM32>\CatRoot2\edb0000F.log
<SYSTEM32>\CatRoot2\edb00012.log
<SYSTEM32>\CatRoot2\edb00013.log
<SYSTEM32>\CatRoot2\edb00010.log
<SYSTEM32>\CatRoot2\edb00011.log
%WINDIR%\repair\setup.log
%WINDIR%\security\logs\backup.log
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\ngen_service.log
%WINDIR%\pchealth\helpctr\Logs\hcupdate.log
%WINDIR%\security\logs\SceRoot.log
%WINDIR%\SoftwareDistribution\DataStore\Logs\edb.log
%WINDIR%\SoftwareDistribution\DataStore\Logs\res1.log
%WINDIR%\security\logs\scesetup.log
%WINDIR%\SoftwareDistribution\ReportingEvents.log
<SYSTEM32>\wbem\Logs\setup.log
<SYSTEM32>\wbem\Logs\wbemcore.log
<SYSTEM32>\wbem\Logs\mofcomp.log
<SYSTEM32>\wbem\Logs\replog.log
<SYSTEM32>\wbem\Logs\wbemess.log
<SYSTEM32>\wbem\Logs\wmiprov.log
<SYSTEM32>\eventvwr.msc
<SYSTEM32>\wbem\Logs\wbemprox.log
<SYSTEM32>\wbem\Logs\wmiadap.log
<SYSTEM32>\CatRoot2\edb00016.log
<SYSTEM32>\CatRoot2\edb00017.log
<SYSTEM32>\CatRoot2\edb00014.log
<SYSTEM32>\CatRoot2\edb00015.log
<SYSTEM32>\CatRoot2\res1.log
<SYSTEM32>\MsDtc\Trace\dtctrace.log
<SYSTEM32>\wbem\Logs\FrameWork.log
<SYSTEM32>\CatRoot2\res2.log
<SYSTEM32>\MsDtc\MSDTC.LOG
%WINDIR%\Microsoft.NET\Framework\v4.0.30319\ngen.log
%WINDIR%\msgsocm.log
%WINDIR%\msmqinst.log
%WINDIR%\KB942288-v3.log
%WINDIR%\MedCtrOC.log
%WINDIR%\netfxocm.log
%WINDIR%\ocmsn.log
%WINDIR%\regopt.log
%WINDIR%\ntdtcsetup.log
%WINDIR%\ocgen.log
%WINDIR%\cmsetacl.log
%WINDIR%\COM+.log
C:\WINNT\system32\sys32\odx2e3\dbhelp.dll
%WINDIR%\0.log
%WINDIR%\comsetup.log
%WINDIR%\iis6.log
%WINDIR%\imsins.log
%WINDIR%\DtcInstall.log
%WINDIR%\FaxSetup.log
%WINDIR%\WindowsUpdate.log
%WINDIR%\wmsetup.log
%WINDIR%\wiadebug.log
%WINDIR%\wiaservc.log
%WINDIR%\Debug\blastcln.log
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\ngen.log
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\ngen_service.log
%WINDIR%\Debug\NetSetup.LOG
%WINDIR%\Debug\UserMode\userenv.log
%WINDIR%\setupapi.log
%WINDIR%\setuperr.log
%WINDIR%\sessmgr.setup.log
%WINDIR%\setupact.log
%WINDIR%\spupdsvc.log
%WINDIR%\tsoc.log
%WINDIR%\updspapi.log
%WINDIR%\Sti_Trace.log
%WINDIR%\tabletoc.log

Перемещает следующие файлы:

C:\WINNT\system32\sys32\odx2e3\r0x.state.tmp в C:\WINNT\system32\sys32\odx2e3\r0x.state

Сетевая активность:

Подключается к:

'localhost':1211
'localhost':1209
'localhost':1215
'localhost':1213
'localhost':1202
'localhost':1200
'localhost':1207
'localhost':1204
'localhost':1217
'localhost':1227
'localhost':1225
'localhost':1231
'localhost':1229
'localhost':1219
'localhost':1218
'localhost':1223
'localhost':1221
'localhost':1178
'localhost':1175
'localhost':1182
'localhost':1180
'localhost':1169
'localhost':1167
'localhost':1173
'localhost':1171
'localhost':1184
'localhost':1194
'localhost':1192
'localhost':1198
'localhost':1196
'localhost':1187
'localhost':1186
'localhost':1190
'localhost':1188
'localhost':1233
'localhost':1278
'localhost':1277
'localhost':1281
'localhost':1279
'localhost':1271
'localhost':1269
'localhost':1275
'localhost':1273
'localhost':1283
'localhost':1296
'localhost':1294
'localhost':1300
'localhost':1298
'localhost':1287
'localhost':1285
'localhost':1291
'localhost':1289
'localhost':1246
'localhost':1244
'localhost':1248
'localhost':1247
'localhost':1238
'localhost':1236
'localhost':1242
'localhost':1240
'localhost':1250
'localhost':1262
'localhost':1260
'localhost':1266
'localhost':1264
'localhost':1254
'localhost':1252
'localhost':1258
'localhost':1256
'localhost':1076
'localhost':1075
'localhost':1080
'localhost':1078
'localhost':1070
'localhost':1068
'localhost':1074
'localhost':1072
'localhost':1082
'localhost':1094
'localhost':1092
'localhost':1098
'localhost':1096
'localhost':1086
'localhost':1084
'localhost':1090
'localhost':1088
'localhost':1045
'localhost':1043
'localhost':1049
'localhost':1047
'localhost':1037
'localhost':1036
'localhost':1041
'localhost':1038
'localhost':1051
'ir#.#lixyr.org':6667
'localhost':1061
'localhost':1066
'localhost':1064
'localhost':1055
'localhost':1053
'localhost':1059
'localhost':1057
'localhost':1100
'localhost':1144
'localhost':1142
'localhost':1148
'localhost':1146
'localhost':1138
'localhost':1136
'localhost':1140
'localhost':1139
'localhost':1150
'localhost':1163
'localhost':1161
'localhost':1165
'localhost':1164
'localhost':1155
'localhost':1153
'localhost':1159
'localhost':1157
'localhost':1113
'localhost':1111
'localhost':1115
'localhost':1114
'localhost':1105
'localhost':1103
'localhost':1109
'localhost':1107
'localhost':1117
'localhost':1130
'localhost':1128
'localhost':1134
'localhost':1132
'localhost':1121
'localhost':1119
'localhost':1125
'localhost':1123

UDP:

DNS ASK ir#.#lixyr.org

Другое:

Ищет следующие окна:

ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней