Trojan.DownLoad2.20306

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\D701.tmp'
'%TEMP%\E5B4.tmp'
'%TEMP%\D30A.tmp'
'%TEMP%\DD59.tmp'
'%TEMP%\E085.tmp'
'%TEMP%\DA0E.tmp'
'%TEMP%\E91F.tmp'
'%TEMP%\C9A5.tmp'
'%TEMP%\BB04.tmp'
'%TEMP%\CFBE.tmp'
'%TEMP%\E5B4.tmp' (загружен из сети Интернет)
'%TEMP%\E91F.tmp' (загружен из сети Интернет)
'%TEMP%\E085.tmp' (загружен из сети Интернет)
'%TEMP%\DD59.tmp' (загружен из сети Интернет)
'%TEMP%\CFBE.tmp' (загружен из сети Интернет)
'%TEMP%\C9A5.tmp' (загружен из сети Интернет)
'%TEMP%\BB04.tmp' (загружен из сети Интернет)
'%TEMP%\DA0E.tmp' (загружен из сети Интернет)
'%TEMP%\D701.tmp' (загружен из сети Интернет)
'%TEMP%\D30A.tmp' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\wbem\WMIADAP.EXE' /F /T /R
'<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL <Текущая директория>\document.doc
'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\DD59.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\load[4].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\load[4].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\load[4].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\load[3].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\load[3].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\load[3].php
%TEMP%\DA0E.tmp
%TEMP%\E085.tmp
%TEMP%\E91F.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\load[5].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\load[6].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\load[5].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\load[5].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\load[4].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\load[5].php
%TEMP%\E5B4.tmp
<Текущая директория>\&luck=1
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\load[1].php
%TEMP%\C9A5.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\load[1].php
<Текущая директория>\document.doc
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\document[1].doc
%TEMP%\BB04.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\load[1].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\load[1].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\load[2].php
%TEMP%\D30A.tmp
%TEMP%\D701.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\load[3].php
%TEMP%\CFBE.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\load[2].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\load[2].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\load[2].php