Trojan.DownLoader49.46793

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\hlqpnwnyds.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\correct.avi
<Имя диска съемного носителя>:\mtydsrqpywoo\lyjfgrkbxosn.exe
<Имя диска съемного носителя>:\correct.avi.exe
<Имя диска съемного носителя>:\rcx8bfb.tmp
<Имя диска съемного носителя>:\archer.avi
<Имя диска съемного носителя>:\archer.avi.exe
<Имя диска съемного носителя>:\rcx968a.tmp
<Имя диска съемного носителя>:\join.avi
<Имя диска съемного носителя>:\join.avi.exe
<Имя диска съемного носителя>:\rcxa08c.tmp
<Имя диска съемного носителя>:\delete.avi
<Имя диска съемного носителя>:\delete.avi.exe
<Имя диска съемного носителя>:\rcxa87b.tmp
<Имя диска съемного носителя>:\dial.bmp
<Имя диска съемного носителя>:\dial.bmp.exe
<Имя диска съемного носителя>:\rcxb4d0.tmp
<Имя диска съемного носителя>:\dashborder_144.bmp
<Имя диска съемного носителя>:\tileimage.bmp
<Имя диска съемного носителя>:\default.bmp
<Имя диска съемного носителя>:\contosoroot.cer
<Имя диска съемного носителя>:\pmd.cer
<Имя диска съемного носителя>:\testcertificate.cer
<Имя диска съемного носителя>:\cveuropeo.doc
<Имя диска съемного носителя>:\february_catalogue__2015.doc
<Имя диска съемного носителя>:\lisp_success.doc
<Имя диска съемного носителя>:\ovp25012015.doc
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
<Имя диска съемного носителя>:\508softwareandos.doc
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.docx

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\attrib.exe

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\qtbrcbniaixm.exe
%LOCALAPPDATA%\ehbhagaf
%LOCALAPPDATA%\vbjihwftvuyu.exe
%LOCALAPPDATA%\heacacad
%LOCALAPPDATA%\reensuhvxmrn.exe
%LOCALAPPDATA%\adcgiffe
%LOCALAPPDATA%\oqywmdutexas.exe
%LOCALAPPDATA%\hhbbfiib
%LOCALAPPDATA%\vovgbhdqetxu.exe
%LOCALAPPDATA%\eheghcab

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\microsoft\windows\start menu\programs\startup\hlqpnwnyds.exe
<Имя диска съемного носителя>:\mtydsrqpywoo\lyjfgrkbxosn.exe

Удаляет файлы, которые сам же создал

%LOCALAPPDATA%\ehbhagaf
%LOCALAPPDATA%\qtbrcbniaixm.exe
%LOCALAPPDATA%\heacacad
%LOCALAPPDATA%\vbjihwftvuyu.exe
%LOCALAPPDATA%\adcgiffe
%LOCALAPPDATA%\reensuhvxmrn.exe
%LOCALAPPDATA%\hhbbfiib
%LOCALAPPDATA%\oqywmdutexas.exe
%LOCALAPPDATA%\eheghcab
%LOCALAPPDATA%\vovgbhdqetxu.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\ilnojy47\byvhegns[1].txt

Сетевая активность

Подключается к

'pa###bin.com':443
'or#####dns.duckdns.org':5859

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?8b##############

Другие

'pa###bin.com':443
'or#####dns.duckdns.org':5859

UDP

DNS ASK pa###bin.com
DNS ASK or#####dns.duckdns.org

Другое

Создает и запускает на исполнение

'%LOCALAPPDATA%\qtbrcbniaixm.exe' /in "<Имя диска съемного носителя>:\mtydsrqpywoo\correct.avi.nkl" /out "<Имя диска съемного носителя>:\correct.avi.exe" /ff "correct.avi" /fff "lyjfgrkbxosn.exe" /mm "mtydsrqpywoo"
'%LOCALAPPDATA%\vbjihwftvuyu.exe' /in "<Имя диска съемного носителя>:\mtydsrqpywoo\archer.avi.ymn" /out "<Имя диска съемного носителя>:\archer.avi.exe" /ff "archer.avi" /fff "lyjfgrkbxosn.exe" /mm "mtydsrqpywoo"
'%LOCALAPPDATA%\reensuhvxmrn.exe' /in "<Имя диска съемного носителя>:\mtydsrqpywoo\join.avi.pto" /out "<Имя диска съемного носителя>:\join.avi.exe" /ff "join.avi" /fff "lyjfgrkbxosn.exe" /mm "mtydsrqpywoo"
'%LOCALAPPDATA%\oqywmdutexas.exe' /in "<Имя диска съемного носителя>:\mtydsrqpywoo\delete.avi.pfy" /out "<Имя диска съемного носителя>:\delete.avi.exe" /ff "delete.avi" /fff "lyjfgrkbxosn.exe" /mm "mtydsrqpywoo"
'%LOCALAPPDATA%\vovgbhdqetxu.exe' /in "<Имя диска съемного носителя>:\mtydsrqpywoo\dial.bmp.wdd" /out "<Имя диска съемного носителя>:\dial.bmp.exe" /ff "dial.bmp" /fff "lyjfgrkbxosn.exe" /mm "mtydsrqpywoo"

Запускает на исполнение