Trojan.DownLoader10.3168

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ojypadot' = '"%WINDIR%\uvetecem.exe"'

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\attrib.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\alg.exe
<SYSTEM32>\services.exe
<SYSTEM32>\lsass.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\smss.exe
<SYSTEM32>\attrib.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\winlogon.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\ae84a3a1-6e0c-4a52-a7c9-1cfe7a465010
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\900f218a-0855-405c-a2ff-815719d887aa
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\e86b3ccc-26a0-4734-990a-a7ff38dde0bb
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\1d6ec5ff-93ce-4603-bdd1-64610a4b62c2
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\629a5040-6a92-4347-98c2-0de88dbe4765
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\b79bd1c0-6eea-471f-99b7-7855c2f73750
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\5dfe05b5-c6ce-452b-8928-f753bce64870
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\858623dd-906f-4c74-a749-e22b933dc747
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\5ba2def5-9105-4a20-b00f-5cb406f60670
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\6c1e558a-19b4-4b3d-8a3b-a404ee19b178
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\74da0b1e-149f-4627-8794-7842208f7feb
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%ALLUSERSPROFILE%\Application Data\owotoqys\ihijapic.dat
%ALLUSERSPROFILE%\Application Data\Sun\ihijapic.bkp
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\af66c9bb-f521-4094-8fdf-47029f582065
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%ALLUSERSPROFILE%\Application Data\owotoqys\ebesusuf.dat
%ALLUSERSPROFILE%\Application Data\owotoqys\evuhajul.dat
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\447c0e6d-cfd7-46cc-8918-8d617f9037ae
%ALLUSERSPROFILE%\Application Data\Sun\ebesusuf.bkp
%ALLUSERSPROFILE%\Application Data\owotoqys\ifexixew.dat
%WINDIR%\uvetecem.exe