Trojan.DownLoader10.22349

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'kxugowab' = '"%WINDIR%\uket\alunocyl.exe"'

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\attrib.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\lsass.exe
<SYSTEM32>\alg.exe
<SYSTEM32>\services.exe
<SYSTEM32>\smss.exe
<SYSTEM32>\attrib.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\c60efc2a-f64c-4042-b0a7-790904d5a2ce
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\cd2899ee-ef2f-4d8c-aa46-eb7a7a9bbcd7
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\b02eeebf-bdb2-41ee-b420-7f872996f353
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
%ALLUSERSPROFILE%\Application Data\epezegud\hrexatas.dat
%ALLUSERSPROFILE%\Application Data\yvicavuc\obesonyt.dat
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\551612d2-b088-4118-8634-e61057bef2da
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\0abe1585-f67c-422b-8039-07f1ff30768d
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\4b980874-4533-4762-81e0-f9edcdb83f3f
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\70761612-de3c-43b0-b4cb-eca704cb4acc
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\2e20b604-382e-41c7-b5b8-cc91c661d404
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\4842ec3e-18fb-4b0d-bf1d-2db252d07fc9
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\b737e73f-1f13-4366-8b5d-25dfd6007a64
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\20608051-aeb2-4d0f-a222-c2cf368a7ca3
%ALLUSERSPROFILE%\Application Data\tcusyhan\umehonuk.dat
%ALLUSERSPROFILE%\Application Data\Sun\umehonuk.bkp
%ALLUSERSPROFILE%\Application Data\tcusyhan\eqasajan.dat
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\5158de44-5daf-4f60-8ed5-aa9f1f43f12e
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%ALLUSERSPROFILE%\Application Data\tcusyhan\esumipaq.dat
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\070c47ed-6733-4999-80c1-9d9be92d1f0c
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\3edeeb55-7232-4a0c-9414-d683f1bcc140
%WINDIR%\uket\alunocyl.exe
%ALLUSERSPROFILE%\Application Data\Sun\eqasajan.bkp
%ALLUSERSPROFILE%\Application Data\tcusyhan\ngufyzyg.dat
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1