Trojan.DownLoader10.54721

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\findstr.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\findstr.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'findstr' = '"%APPDATA%\Microsoft\Windows\dllcache\findstr.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'findstr' = '"%APPDATA%\Microsoft\Windows\dllcache\findstr.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\findstr.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\dllcache\findstr.exe'
'%APPDATA%\Microsoft\Windows\dllcache\findstr.exe' "<Полный путь к вирусу>"

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\ctfmon.exe
%WINDIR%\Explorer.EXE

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\bios1.rom
%APPDATA%\Microsoft\Windows\dllcache\batmeter.dll
%APPDATA%\Microsoft\Windows\dllcache\cdm.dll
%APPDATA%\Microsoft\Windows\dllcache\ntio.sys
%APPDATA%\Microsoft\Windows\dllcache\umdmxfrm.dll
%APPDATA%\Microsoft\Windows\dllcache\rasautou.exe
%APPDATA%\Microsoft\Windows\dllcache\safrslv.dll
%APPDATA%\Microsoft\Windows\dllcache\gdi.exe
%APPDATA%\Microsoft\Windows\dllcache\rdchost.dll
%APPDATA%\Microsoft\Windows\dllcache\g711codc.ax
%APPDATA%\Microsoft\Windows\dllcache\bopomofo.uce
%APPDATA%\Microsoft\Windows\dllcache\kbdukx.dll
%APPDATA%\Microsoft\Windows\dllcache\xcopy.exe
%APPDATA%\Microsoft\Windows\dllcache\qdvd.dll
%APPDATA%\Microsoft\Windows\dllcache\nscompat.tlb
%APPDATA%\Microsoft\Windows\dllcache\iasrad.dll
%APPDATA%\Microsoft\Windows\dllcache\mciavi.drv
%APPDATA%\Microsoft\Windows\dllcache\acelpdec.ax
%APPDATA%\Microsoft\Windows\dllcache\login.cmd
%APPDATA%\Microsoft\Windows\dllcache\appmgr.dll
%APPDATA%\Microsoft\Windows\dllcache\icardagt.exe
%APPDATA%\Microsoft\Windows\dllcache\usrlogon.cmd
%APPDATA%\Microsoft\Windows\dllcache\jobexec.dll
%APPDATA%\Microsoft\Windows\dllcache\batt.dll
%APPDATA%\Microsoft\Windows\dllcache\wiasf.ax
%APPDATA%\Microsoft\Windows\dllcache\narrator.exe
%APPDATA%\Microsoft\Windows\dllcache\unicode.nls
%APPDATA%\Microsoft\Windows\dllcache\kbdtuq.dll
%APPDATA%\Microsoft\Windows\dllcache\catsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
%TEMP%\tmp1.tmp
C:\Documents and Settings\Default User\Start Menu\Programs\Startup\findstr.lnk
%APPDATA%\Microsoft\Windows\dllcache\l3codeca.acm
%APPDATA%\Microsoft\Windows\dllcache\iassdo.dll
%APPDATA%\Microsoft\Windows\dllcache\kbdfo.dll
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\932af0c1-05b0-4996-825d-e79b2834855f
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Windows\dllcache\findstr.exe
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\078C568DEE0F048F92954B4A5B2E0EC603F55AA3
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\93f186fbc8d2e0e8439b97045eaea111_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Windows\dllcache\hlink.dll
%APPDATA%\Microsoft\Windows\dllcache\xactsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\vbajet32.dll
%APPDATA%\Microsoft\Windows\dllcache\taskman.exe
%APPDATA%\Microsoft\Windows\dllcache\scrobj.dll
%APPDATA%\Microsoft\Windows\dllcache\p2p.dll
%APPDATA%\Microsoft\Windows\dllcache\webfldrs.msi
%APPDATA%\Microsoft\Windows\dllcache\iassam.dll
%APPDATA%\Microsoft\Windows\dllcache\v7vga.rom
%APPDATA%\Microsoft\Windows\dllcache\amstream.dll
%APPDATA%\Microsoft\Windows\dllcache\mchgrcoi.dll
%APPDATA%\Microsoft\Windows\dllcache\packager.exe
%APPDATA%\Microsoft\Windows\dllcache\d3dramp.dll
%APPDATA%\Microsoft\Windows\dllcache\chkdsk.exe

Удаляет следующие файлы:

%TEMP%\tmp1.tmp
%TEMP%\tmp4.tmp
C:\System Volume Information\EFS0.LOG
%APPDATA%\Microsoft\Windows\dllcache\findstr.exe

Перемещает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp в %APPDATA%\Microsoft\Windows\dllcache\findstr.exe
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp в %APPDATA%\Microsoft\Windows\dllcache\findstr.exe

Сетевая активность:

Подключается к: