Trojan.Tofsee.7110

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\browservalidatenve
%WINDIR%\tasks\checktls.job
<SYSTEM32>\tasks\checktls

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

следующие пользовательские процессы:

servicebrowserv5.exe

Патчит код

в динамической библиотеке

Процесс adobe qt32 server.exe, модуль dbghelp.dll
Процесс adobe qt32 server.exe, модуль PLA.dll

в динамической библиотеке NTDLL

Процесс adobe qt32 server.exe, модуль ntdll.dll
Процесс servicebrowserv5.exe, модуль ntdll.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-r7nnj.tmp\<Имя файла>.tmp
%TEMP%\is-uncql.tmp\_isetup\_setup64.tmp
%TEMP%\is-uncql.tmp\adobe qt32 server.exe
%TEMP%\is-uncql.tmp\aslfoundation.dll
%TEMP%\is-uncql.tmp\aslmessaging.dll
%TEMP%\is-uncql.tmp\aslunittesting.dll
%TEMP%\is-uncql.tmp\boost_date_time.dll
%TEMP%\is-uncql.tmp\boost_system.dll
%TEMP%\is-uncql.tmp\boost_threads.dll
%TEMP%\is-uncql.tmp\chad.m4a
%TEMP%\is-uncql.tmp\dvacore.dll
%TEMP%\is-uncql.tmp\dvamarshal.dll
%TEMP%\is-uncql.tmp\dvamediatypes.dll
%TEMP%\is-uncql.tmp\dvatransport.dll
%TEMP%\is-uncql.tmp\dynamiclink.dll
%TEMP%\is-uncql.tmp\imagerenderer.dll
%TEMP%\is-uncql.tmp\libmmd.dll
%TEMP%\is-uncql.tmp\mc_enc_dv.dll
%TEMP%\is-uncql.tmp\mediafoundation.dll
%TEMP%\is-uncql.tmp\memory.dll
%TEMP%\is-uncql.tmp\msvcp100.dll
%TEMP%\is-uncql.tmp\msvcr100.dll
%TEMP%\is-uncql.tmp\prm.dll
%TEMP%\is-uncql.tmp\svml_dispmd.dll
%TEMP%\is-uncql.tmp\videoframe.dll
%TEMP%\is-uncql.tmp\woe.asp
%APPDATA%\controlupdatefe\adobe qt32 server.exe
%APPDATA%\controlupdatefe\aslfoundation.dll
%APPDATA%\controlupdatefe\aslmessaging.dll
%APPDATA%\controlupdatefe\aslunittesting.dll
%APPDATA%\controlupdatefe\boost_date_time.dll
%APPDATA%\controlupdatefe\boost_system.dll
%APPDATA%\controlupdatefe\boost_threads.dll
%APPDATA%\controlupdatefe\dvacore.dll
%APPDATA%\controlupdatefe\dvamarshal.dll
%APPDATA%\controlupdatefe\dvamediatypes.dll
%APPDATA%\controlupdatefe\dvatransport.dll
%APPDATA%\controlupdatefe\dynamiclink.dll
%APPDATA%\controlupdatefe\imagerenderer.dll
%APPDATA%\controlupdatefe\libmmd.dll
%APPDATA%\controlupdatefe\mc_enc_dv.dll
%APPDATA%\controlupdatefe\mediafoundation.dll
%APPDATA%\controlupdatefe\memory.dll
%APPDATA%\controlupdatefe\msvcp100.dll
%APPDATA%\controlupdatefe\msvcr100.dll
%APPDATA%\controlupdatefe\prm.dll
%APPDATA%\controlupdatefe\svml_dispmd.dll
%APPDATA%\controlupdatefe\videoframe.dll
%APPDATA%\controlupdatefe\woe.asp
%APPDATA%\controlupdatefe\chad.m4a
%TEMP%\c768b6ef
%ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
%TEMP%\nhjjtjwslje
%TEMP%\servicebrowserv5.exe

Удаляет файлы, которые сам же создал

%TEMP%\is-uncql.tmp\adobe qt32 server.exe
%TEMP%\is-uncql.tmp\aslfoundation.dll
%TEMP%\is-uncql.tmp\aslmessaging.dll
%TEMP%\is-uncql.tmp\aslunittesting.dll
%TEMP%\is-uncql.tmp\boost_date_time.dll
%TEMP%\is-uncql.tmp\boost_system.dll
%TEMP%\is-uncql.tmp\boost_threads.dll
%TEMP%\is-uncql.tmp\chad.m4a
%TEMP%\is-uncql.tmp\dvacore.dll
%TEMP%\is-uncql.tmp\dvamarshal.dll
%TEMP%\is-uncql.tmp\dvamediatypes.dll
%TEMP%\is-uncql.tmp\dvatransport.dll
%TEMP%\is-uncql.tmp\dynamiclink.dll
%TEMP%\is-uncql.tmp\imagerenderer.dll
%TEMP%\is-uncql.tmp\libmmd.dll
%TEMP%\is-uncql.tmp\mc_enc_dv.dll
%TEMP%\is-uncql.tmp\mediafoundation.dll
%TEMP%\is-uncql.tmp\memory.dll
%TEMP%\is-uncql.tmp\msvcp100.dll
%TEMP%\is-uncql.tmp\msvcr100.dll
%TEMP%\is-uncql.tmp\prm.dll
%TEMP%\is-uncql.tmp\svml_dispmd.dll
%TEMP%\is-uncql.tmp\videoframe.dll
%TEMP%\is-uncql.tmp\_isetup\_setup64.tmp
%TEMP%\is-r7nnj.tmp\<Имя файла>.tmp

Сетевая активность

UDP

DNS ASK microsoft.com
DNS ASK va##heim.cn
DNS ASK ya##o.com
DNS ASK google.com
DNS ASK jo###heim.name
'<DNS_SERVER>':53

Другое

Создает и запускает на исполнение

'%TEMP%\is-r7nnj.tmp\<Имя файла>.tmp' /SL5="$C02C0,7068991,845824,<Полный путь к файлу>"
'%TEMP%\is-uncql.tmp\adobe qt32 server.exe'
'%APPDATA%\controlupdatefe\adobe qt32 server.exe'
'%TEMP%\servicebrowserv5.exe'

Запускает на исполнение