Trojan.DownLoader10.23376

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '1ce5c21bd74c042cdcd945e699c951c5' = '"%TEMP%\winrar.exe" ..'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1ce5c21bd74c042cdcd945e699c951c5' = '"%TEMP%\winrar.exe" ..'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\1ce5c21bd74c042cdcd945e699c951c5.exe

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\1ce5c21bd74c042cdcd945e699c951c5.exe

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\winrar.exe' = '%TEMP%\winrar.exe:*:Enabled:winrar.exe'

Создает и запускает на исполнение:

'%TEMP%\566.exe'
'%TEMP%\winrar.exe'
'%WINDIR%\fa.exe'
'%WINDIR%\server.exe'

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\winrar.exe" "winrar.exe" ENABLE
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\CSC1.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\d-8xshn4.cmdline"

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\UGxhdGZvcm0gVUkgQ3VsdHVyZSBOYW1lOiBlbi1VUw==.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\UGxhdGZvcm0gVUkgQ3VsdHVyZSBMQ0lEOiAxMDMz.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\d639e7f1-e7ad-a22a.txt
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\Tm8gb3RoZXIgaW5zdGFsbGVkIG9iZnVzY2F0b3Jz.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\25331f49-ac68-705b.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\25331f49-ac68-705b.txt
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\c81ff8ca-0a49-b23e.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\c81ff8ca-0a49-b23e.txt
%TEMP%\CSC1.tmp
%TEMP%\d-8xshn4.out
%TEMP%\d-8xshn4.dll
%TEMP%\RES2.tmp
%TEMP%\winrar.exe
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\d639e7f1-e7ad-a22a.bin
%TEMP%\d-8xshn4.cmdline
%TEMP%\d-8xshn4.0.cs
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\438eae57-e5c3-58a0.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\info.dat
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\UGxhdGZvcm0gQ3VsdHVyZSBMQ0lEOiAxMDMz.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\Usages.bin
%WINDIR%\server.exe
%WINDIR%\fa.exe
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\identity.dat
%TEMP%\566.exe
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\a0f0ba94-5ed9-e2fa.txt
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\UGxhdGZvcm0gTnVtYmVyIG9mIE1vbml0b3JzOiAx.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\438eae57-e5c3-58a0.txt
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\a0f0ba94-5ed9-e2fa.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\ae52b699-2664-2119.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\ae52b699-2664-2119.txt
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\3c6bf7fe-84f6-5909.bin
<LS_APPDATA>\IsolatedStorage\523cqet2.ojv\mnk2rq4n.2xy\Url.npxr4a44mxrnvu24bukygq3ogrythht5\AssemFiles\3AC6900B\D\3c6bf7fe-84f6-5909.txt