Trojan.DownLoad1.18843

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '\system' = '<SYSTEM32>\system.exe'

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\Driver] 'ImagePath' = 'C:\Driver.sys'

Создает следующие сервисы

'Driver' C:\Driver.sys

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\autorun.inf
<Имя диска съемного носителя>:\autorun.vbs
<Имя диска съемного носителя>:\system.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ixp000.tmp\qvodВІВҐ~1.exe
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\ГЁВ¤ГГ¦ГГё.lnk
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\bg.jpg
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\loading-s.gif
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\loading.gif
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\images\platformbg.jpg
%TEMP%\nsp4fb6.tmp\inetc.dll
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\ГЁВ¤ГГ¦ГіГ®ГЇВ·\ГЁВ¤ГГ¦ГіГ®ГЇВ·.lnk
%APPDATA%\microsoft\windows\start menu\programs\ГЁВ¤ГГ¦ГіГ®ГЇВ·\ГЁВ¤ГГ¦ГіГ®ГЇВ·.url
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\offlinel.html
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\profile.ini
%HOMEPATH%\desktop\ВјВ¤Г§Г©ВіГ©ГЁГ«ГіГ®ГЇВ·.lnk
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\navcancl[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\errorpagetemplate[2]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\background_gradient[1]
%HOMEPATH%\desktop\ГЁВ¤ГГ¦ГГё.lnk
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\dnserrordiagoff_weboc[1]
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\offline.html
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\minibrowser.exe
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\logo.ico
%WINDIR%\syswow64\vuwws.dll
C:\driver.sys
%WINDIR%\syswow64\c`ggv.dll
C:\autorun.inf
C:\autorun.vbs
D:\autorun.inf
D:\autorun.vbs
%TEMP%\706544.tmp
C:\system.exe
%TEMP%\ixp000.tmp\v1n99.exe
D:\system.exe
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\comservice.dll
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\download.dll
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\mfc71.dll
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\msvcp71.dll
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\msvcr71.dll
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\skincontrols.dll
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\socketmodule.dll
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\downloader.exe
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\hosts
%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\17wan.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\info_48[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\bullet[1]

Присваивает атрибут 'скрытый' для следующих файлов

C:\system.exe
D:\system.exe
<Имя диска съемного носителя>:\system.exe

Удаляет следующие файлы

C:\driver.sys
%TEMP%\nsp4fb6.tmp\inetc.dll
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\httperrorpagesscripts[1]
%TEMP%\ixp000.tmp\v1n99.exe

Перемещает следующие файлы

%TEMP%\ixp000.tmp\qvodВІВҐ~1.exe в %WINDIR%\syswow64\system.exe

Изменяет файл HOSTS.

Сетевая активность

UDP

DNS ASK fu####on.tv678.net
DNS ASK sn#.#78bfg.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\ixp000.tmp\qvodВІВҐ~1.exe'
'%TEMP%\ixp000.tmp\v1n99.exe'
'%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\minibrowser.exe'
'%ProgramFiles(x86)%\ГЁВ¤ГГ¦ГіГ®ГЇВ·\downloader.exe'

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\c`ggv.DLL Execute (со скрытым окном)
'%TEMP%\ixp000.tmp\qvodВІВҐ~1.exe' (со скрытым окном)
'%TEMP%\ixp000.tmp\v1n99.exe' (со скрытым окном)