Trojan.DownLoader10.32744

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%APPDATA%\skype.dat'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bcgo-cnpmezeamvkocu-fvuoxf-qjux-uywf-ezvq-alvt-eauy-fpjk-eblz-yvdwnbuaamgteg-jtqjpbpqlzdkjkrqlm[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\crkgoxpydrrczrxqcejtnwzmjkwf-arus-ihwb-ofbfyjnmjprtybcj-xoyn-ampiwiihfpplsynwfapmmvty-vkdr-[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pm-ezea-mvko-rtiouuzmal-ysbl-shlx-rcxq-cbrt-vlyv-vyrtxopppa-iffpcaqrjgtsvyneatelmyroraohbi-gshc[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\syftxplx-stzh-rubtrojgnbgbxq-hccb-dkpy-ifjuph-nbmxfyqzeh-lxrcxvmrkydramzmab-jgfawiwkytif-rpzh-[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mynsoeexjlbwip-naif-vqoujxuqopnecrzjdwca-jgpbpqnwdafy-tudn-raoy-lthcusvpcacg-clrc-nlgk-pvfctw[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\nwamrdmynsoeexjlipmvybwbkqsy-kgdm-yxmponkdfckypb-yvcogsxjvaiishcdtw-oaux-ebop-qnjx-aratuqgo[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mx-ykvqsrznyjbqrihjns-aknfezkqxqmp-ddpvusbwnhpvrgopfqejptdrnnpvdhyjxffanepfgdvq-nhac-syte-[1].html
%APPDATA%\skype.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cdnbvpherovn-vyvlstyvduxo-jgar-dhsdiqltrcjtgnsdmy-pyjpdibczm-dfrirzfvteez-widm-duqt-zhbq-rnio-[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\fquo-bihckkrqsh-gswp-pbrz-oryvne-fyruyjndig-rcxqel-gtpm-xvtiau-ynxf-ytvpofplzrytamjxdnnsio-vkpv-[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\yq-ybti-sddn-xocq-pizrwktuix-cgar-faqkqz-dhky-vkcqwb-mpelkbyxpbhe-ohpfsp-raky-ptawtybqphqj-ldox-fr[1].php

Сетевая активность:

Подключается к:

'as##.xxuz.com':80
'sw####erorbitz.biz':80
'me#####sterunsaved.us':80

TCP:

Запросы HTTP GET:

sw####erorbitz.biz/tgp/nwamrdmynsoeexjlipmvybwbkqsy-kgdm-yxmponkdfckypb-yvcogsxjvaiishcdtw-oaux-ebop-qnjx-aratuqgo.php
me#####sterunsaved.us/tgp/bcgo-cnpmezeamvkocu-fvuoxf-qjux-uywf-ezvq-alvt-eauy-fpjk-eblz-yvdwnbuaamgteg-jtqjpbpqlzdkjkrqlm.php
as##.xxuz.com/tgp/mynsoeexjlbwip-naif-vqoujxuqopnecrzjdwca-jgpbpqnwdafy-tudn-raoy-lthcusvpcacg-clrc-nlgk-pvfctw.php
sw####erorbitz.biz/post/xvakuakbegnl-xjiggd-ddti-rdonauzjvpqpaw-akpz-nedf-twko-bhohvrpmyt-biuowkmvjzysebdryecnxfyeuo-.html
me#####sterunsaved.us/o/syftxplx-stzh-rubtrojgnbgbxq-hccb-dkpy-ifjuph-nbmxfyqzeh-lxrcxvmrkydramzmab-jgfawiwkytif-rpzh-.php
as##.xxuz.com/o/crkgoxpydrrczrxqcejtnwzmjkwf-arus-ihwb-ofbfyjnmjprtybcj-xoyn-ampiwiihfpplsynwfapmmvty-vkdr-.php
sw####erorbitz.biz/o/yq-ybti-sddn-xocq-pizrwktuix-cgar-faqkqz-dhky-vkcqwb-mpelkbyxpbhe-ohpfsp-raky-ptawtybqphqj-ldox-fr.php
me#####sterunsaved.us/post/mx-ykvqsrznyjbqrihjns-aknfezkqxqmp-ddpvusbwnhpvrgopfqejptdrnnpvdhyjxffanepfgdvq-nhac-syte-.html
as##.xxuz.com/questions/fquo-bihckkrqsh-gswp-pbrz-oryvne-fyruyjndig-rcxqel-gtpm-xvtiau-ynxf-ytvpofplzrytamjxdnnsio-vkpv-.html
sw####erorbitz.biz/o/pm-ezea-mvko-rtiouuzmal-ysbl-shlx-rcxq-cbrt-vlyv-vyrtxopppa-iffpcaqrjgtsvyneatelmyroraohbi-gshc.php
me#####sterunsaved.us/post/cdnbvpherovn-vyvlstyvduxo-jgar-dhsdiqltrcjtgnsdmy-pyjpdibczm-dfrirzfvteez-widm-duqt-zhbq-rnio-.html