Trojan.DownLoad3.30486

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\MixiDJ Updater.job
%HOMEPATH%\Start Menu\Programs\Startup\Updater.lnk
%HOMEPATH%\Start Menu\Programs\Startup\MixiDJ_Updater.lnk

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\Mixi.DJ Addon\Updater.exe' = '%APPDATA%\Mixi.DJ Addon\Updater.exe:*:Enabled:Updater for MixiDJ'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\Mixi.DJ\Updater.exe' = '%APPDATA%\Mixi.DJ\Updater.exe:*:Enabled:Updater for Mixi.DJ'

Создает и запускает на исполнение:

'%TEMP%\nsfA.tmp\nsB.tmp' schtasks /create /ru "%USERNAME%" /rp "" /sc daily /tn "MixiDJ Updater" /tr "\"%APPDATA%\Mixi.DJ Addon\updater.exe"\" /st 07:05:00 /sd 01/01/2012 /ed 01/01/2102
'%APPDATA%\Mixi.DJ Addon\UpdaterAsAdmin.exe' "/S" "/shortname=MixiDJ" "/bb=%APPDATA%\Mixi.DJ Addon\updater.exe"
'%APPDATA%\Mixi.DJ Addon\FF8Installer.exe' "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default" "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com" "ff" "support@mixidj.com"
'%TEMP%\nsw7.tmp\nsC.tmp' "%APPDATA%\Mixi.DJ Addon\FF8Installer.exe" "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default" "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com" "ff" "support@mixidj.com"
'%APPDATA%\Mixi.DJ\MixiUpdater.exe' /S
'%TEMP%\Mixi_SNOADDON.exe'
'%TEMP%\nsw7.tmp\ns8.tmp' "%APPDATA%\Mixi.DJ Addon\UpdaterAsAdmin.exe" "/S" "/shortname=MixiDJ" "/bb=%APPDATA%\Mixi.DJ Addon\updater.exe"
'%TEMP%\MixiDJAddOn.exe' /PID=100

Запускает на исполнение:

'<SYSTEM32>\schtasks.exe' /create /ru "%USERNAME%" /rp "" /sc daily /tn "MixiDJ Updater" /tr "\"%APPDATA%\Mixi.DJ Addon\updater.exe"\" /st 07:05:00 /sd 01/01/2012 /ed 01/01/2102

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe
firefox.exe
chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome.manifest
%TEMP%\nsw7.tmp\nsC.tmp
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\install.rdf
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\content\ff-overlay.xul
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\content\ff-overlay.js
%APPDATA%\Mixi.DJ Addon\FF8Installer.exe
%TEMP%\nsw7.tmp\KillProc.dll
%TEMP%\nsfA.tmp\nsisFile.dll
%TEMP%\nsw7.tmp\NSISdl.dll
%TEMP%\nsw7.tmp\System.dll
%APPDATA%\Mixi.DJ Addon\pingC.txt
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\content\overlay.js
%TEMP%\nsw7.tmp\SilentIEPlugin.dll
%APPDATA%\Mixi.DJ Addon\bhoMixi.dll
%APPDATA%\Mixi.DJ Addon\uninstall.exe
%APPDATA%\Mixi.DJ Addon\ping.txt
%TEMP%\nsw7.tmp\IpConfig.dll
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\defaults\preferences\prefs.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\content\images\yourface48.png
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\content\images\2yourface48Notgood.png
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\locale\en-US\overlay.dtd
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\skin\overlay.css
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\support@mixidj.com\chrome\locale\en-US\overlay.properties
%APPDATA%\Mixi.DJ\loading.gif
%APPDATA%\Mixi.DJ\mixilogo.png
%TEMP%\nsj3.tmp\System.dll
%APPDATA%\Mixi.DJ\Updater.exe
%HOMEPATH%\Desktop\MixiDJ.lnk
%APPDATA%\Mixi.DJ\loading.html
%TEMP%\MixiDJAddOn.exe
%TEMP%\Mixi_SNOADDON.exe
%APPDATA%\Mixi.DJ\MixiDJ.exe
%APPDATA%\Mixi.DJ\MixiUpdater.exe
%APPDATA%\Mixi.DJ\YouTubeManager.dll
%APPDATA%\Mixi.DJ\version.exe
%TEMP%\nsw7.tmp\ns8.tmp
%TEMP%\nsw7.tmp\nsExec.dll
%TEMP%\nsfA.tmp\System.dll
%TEMP%\nsfA.tmp\nsB.tmp
%TEMP%\nsfA.tmp\nsExec.dll
%APPDATA%\Mixi.DJ Addon\UpdaterAsAdmin.exe
%APPDATA%\Mixi.DJ\uninst.exe
%TEMP%\nsh5.tmp\SimpleFC.dll
%APPDATA%\Mixi.DJ Addon\Updater.exe
%TEMP%\nsw7.tmp\SimpleFC.dll
%APPDATA%\Mixi.DJ Addon\version.exe

Удаляет следующие файлы:

%TEMP%\nsw7.tmp\IpConfig.dll
%TEMP%\nsw7.tmp\KillProc.dll
%APPDATA%\Mixi.DJ Addon\pingC.txt
%APPDATA%\Mixi.DJ Addon\ping.txt
%TEMP%\nsw7.tmp\nsExec.dll
%TEMP%\nsw7.tmp\SimpleFC.dll
%TEMP%\nsw7.tmp\System.dll
%TEMP%\nsw7.tmp\NSISdl.dll
%TEMP%\nsw7.tmp\SilentIEPlugin.dll
%APPDATA%\Mixi.DJ Addon\FF8Installer.exe
%TEMP%\nsfA.tmp\nsB.tmp
%TEMP%\nsfA.tmp\nsExec.dll
%TEMP%\nsh5.tmp\SimpleFC.dll
%TEMP%\nsj3.tmp\System.dll
%TEMP%\nsfA.tmp\nsisFile.dll
%APPDATA%\Mixi.DJ Addon\UpdaterAsAdmin.exe
%TEMP%\nsw7.tmp\nsC.tmp
%TEMP%\nsfA.tmp\System.dll
%TEMP%\nsw7.tmp\ns8.tmp

Сетевая активность:

Подключается к:

'sc####.novopage.com':80

TCP:

Запросы HTTP GET:

sc####.novopage.com/AddOns/TrackInstall?pu#############################################################################################################################################
sc####.novopage.com/AddOns/Country

UDP: