Trojan.DownLoad3.30592

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\attrib.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\alg.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\csrss.exe
<SYSTEM32>\services.exe
<SYSTEM32>\smss.exe
<SYSTEM32>\attrib.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\8b45aa7c-216e-475e-be50-f651fa8dee83
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\e392659a-8e89-4a4e-aec9-db7491cbdd19
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\c4cd7621-0a18-4b23-adbb-b81d97e36f2d
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\H01T3VNF\desktop.ini
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\580e4309-fbae-4305-b782-d7ed327e9735
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\9c2ff69e-20c6-487f-92c2-35c01ac39b7a
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\51289a5c-d95c-48e8-8375-68f2dd8e40ab
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\7QOCKI1T\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\ALJLDKZM\desktop.ini
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%ALLUSERSPROFILE%\Application Data\tcusyhan\umehonuk.dat
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\a8ad86c1-2625-4ae0-a11d-6f865b2fffb7
%ALLUSERSPROFILE%\Application Data\Sun\umehonuk.bkp
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WM5TZP13\desktop.ini
%ALLUSERSPROFILE%\Application Data\tcusyhan\ngufyzyg.dat
%ALLUSERSPROFILE%\Application Data\tcusyhan\eqasajan.dat
%ALLUSERSPROFILE%\Application Data\Sun\eqasajan.bkp

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\7QOCKI1T\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\ALJLDKZM\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WM5TZP13\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\H01T3VNF\desktop.ini

Сетевая активность:

Подключается к: