Trojan.DownLoader10.12762

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\winlogon.exe'
'<SYSTEM32>\csrss.exe' ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16
'<SYSTEM32>\netsh.exe' firewall set service type = REMOTEDESKTOP mode = ENABLE

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\36.tmp
%TEMP%\37.tmp
%TEMP%\35.tmp
%TEMP%\33.tmp
%TEMP%\34.tmp
%TEMP%\38.tmp
%TEMP%\3C.tmp
%TEMP%\3D.tmp
%TEMP%\3B.tmp
%TEMP%\39.tmp
%TEMP%\3A.tmp
%TEMP%\2B.tmp
%TEMP%\2C.tmp
%TEMP%\2A.tmp
%TEMP%\28.tmp
%TEMP%\29.tmp
%TEMP%\2D.tmp
%TEMP%\31.tmp
%TEMP%\32.tmp
%TEMP%\30.tmp
%TEMP%\2E.tmp
%TEMP%\2F.tmp
%TEMP%\3E.tmp
%TEMP%\4D.tmp
%TEMP%\4E.tmp
%TEMP%\4C.tmp
%TEMP%\4A.tmp
%TEMP%\4B.tmp
%TEMP%\4F.tmp
%TEMP%\53.tmp
%TEMP%\54.tmp
%TEMP%\52.tmp
%TEMP%\50.tmp
%TEMP%\51.tmp
%TEMP%\42.tmp
%TEMP%\43.tmp
%TEMP%\41.tmp
%TEMP%\3F.tmp
%TEMP%\40.tmp
%TEMP%\44.tmp
%TEMP%\48.tmp
%TEMP%\49.tmp
%TEMP%\47.tmp
%TEMP%\45.tmp
%TEMP%\46.tmp
%TEMP%\27.tmp
%TEMP%\A.tmp
%TEMP%\B.tmp
%TEMP%\9.tmp
%TEMP%\7.tmp
%TEMP%\8.tmp
%TEMP%\C.tmp
%TEMP%\10.tmp
%TEMP%\11.tmp
%TEMP%\F.tmp
%TEMP%\D.tmp
%TEMP%\E.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\dbg[1].php
%TEMP%\3.tmp
%TEMP%\1.tmp
%ALLUSERSPROFILE%\Application Data\suxymez.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dbg[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\dbg[1].php
%TEMP%\5.tmp
%TEMP%\6.tmp
%TEMP%\2.tmp
%TEMP%\4.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\members[1].htm
%TEMP%\12.tmp
%TEMP%\1F.tmp
%TEMP%\20.tmp
%TEMP%\1E.tmp
%TEMP%\1C.tmp
%TEMP%\1D.tmp
%TEMP%\21.tmp
%TEMP%\25.tmp
%TEMP%\26.tmp
%TEMP%\24.tmp
%TEMP%\22.tmp
%TEMP%\23.tmp
%TEMP%\16.tmp
%TEMP%\17.tmp
%TEMP%\15.tmp
%TEMP%\13.tmp
%TEMP%\14.tmp
%TEMP%\18.tmp
%TEMP%\1B.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\dbg[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\members[1].htm
%TEMP%\19.tmp
%TEMP%\1A.tmp

Удаляет следующие файлы:

%TEMP%\37.tmp
%TEMP%\38.tmp
%TEMP%\36.tmp
%TEMP%\34.tmp
%TEMP%\35.tmp
%TEMP%\39.tmp
%TEMP%\3D.tmp
%TEMP%\3E.tmp
%TEMP%\3C.tmp
%TEMP%\3A.tmp
%TEMP%\3B.tmp
%TEMP%\2D.tmp
%TEMP%\2E.tmp
%TEMP%\2C.tmp
%TEMP%\2A.tmp
%TEMP%\2B.tmp
%TEMP%\2F.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\members[1].htm
%TEMP%\33.tmp
%TEMP%\32.tmp
%TEMP%\30.tmp
%TEMP%\31.tmp
%TEMP%\4D.tmp
%TEMP%\4E.tmp
%TEMP%\4C.tmp
%TEMP%\4A.tmp
%TEMP%\4B.tmp
%TEMP%\4F.tmp
%TEMP%\53.tmp
%TEMP%\54.tmp
%TEMP%\52.tmp
%TEMP%\50.tmp
%TEMP%\51.tmp
%TEMP%\42.tmp
%TEMP%\43.tmp
%TEMP%\41.tmp
%TEMP%\3F.tmp
%TEMP%\40.tmp
%TEMP%\44.tmp
%TEMP%\48.tmp
%TEMP%\49.tmp
%TEMP%\47.tmp
%TEMP%\45.tmp
%TEMP%\46.tmp
%TEMP%\29.tmp
%TEMP%\D.tmp
%TEMP%\E.tmp
%TEMP%\C.tmp
%TEMP%\A.tmp
%TEMP%\B.tmp
%TEMP%\F.tmp
%TEMP%\13.tmp
%TEMP%\14.tmp
%TEMP%\12.tmp
%TEMP%\10.tmp
%TEMP%\11.tmp
%TEMP%\2.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\dbg[1].php
%TEMP%\4.tmp
%TEMP%\1.tmp
%TEMP%\3.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\dbg[1].php
%TEMP%\8.tmp
%TEMP%\9.tmp
%TEMP%\7.tmp
%TEMP%\5.tmp
%TEMP%\6.tmp
%TEMP%\21.tmp
%TEMP%\22.tmp
%TEMP%\20.tmp
%TEMP%\1E.tmp
%TEMP%\1F.tmp
%TEMP%\23.tmp
%TEMP%\27.tmp
%TEMP%\28.tmp
%TEMP%\26.tmp
%TEMP%\24.tmp
%TEMP%\25.tmp
%TEMP%\18.tmp
%TEMP%\19.tmp
%TEMP%\17.tmp
%TEMP%\15.tmp
%TEMP%\16.tmp
%TEMP%\1A.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\dbg[1].php
%TEMP%\1D.tmp
%TEMP%\1C.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\members[1].htm
%TEMP%\1B.tmp

Сетевая активность:

Подключается к:

'localhost':3389
'5.##.242.200':50102
'tr####updates.net':80
'localhost':1036
'up####.servizio-cbi.com':80
'download.windowsupdate.com':80

TCP:

Запросы HTTP GET:

up####.servizio-cbi.com/dbg.php?e=##########################
up####.servizio-cbi.com/dbg.php?e=#########################
up####.servizio-cbi.com/dbg.php?e=########################################################################

UDP: