Trojan.Gozi.3033

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Routes' = '%APPDATA%\Routes\Routes.exe --OKXE'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nse1f47.tmp
%TEMP%\nsu1f58.tmp\system.dll
%TEMP%\nsu1f58.tmp\inetc.dll
%TEMP%\nsk1f69.tmp
%APPDATA%\routes\routes.exe
%APPDATA%\routes\d3dcompiler_47.dll
%APPDATA%\routes\ffmpeg.dll
%APPDATA%\routes\icudtl.dat
%APPDATA%\routes\libegl.dll
%APPDATA%\routes\libglesv2.dll
%APPDATA%\routes\node.dll
%APPDATA%\routes\nw.dll
%APPDATA%\routes\nw_100_percent.pak
%APPDATA%\routes\nw_200_percent.pak
%APPDATA%\routes\nw_elf.dll
%APPDATA%\routes\resources.pak
%APPDATA%\routes\v8_context_snapshot.bin
%APPDATA%\routes\imgs\icon.ico
%APPDATA%\routes\locales\am.pak
%APPDATA%\routes\locales\ar.pak
%APPDATA%\routes\locales\bg.pak
%APPDATA%\routes\locales\bn.pak
%APPDATA%\routes\locales\ca.pak
%APPDATA%\routes\locales\cs.pak
%APPDATA%\routes\locales\da.pak
%APPDATA%\routes\locales\de.pak
%APPDATA%\routes\locales\el.pak
%APPDATA%\routes\locales\en-gb.pak
%APPDATA%\routes\locales\en-us.pak
%APPDATA%\routes\locales\es-419.pak
%APPDATA%\routes\locales\es.pak
%APPDATA%\routes\locales\et.pak
%APPDATA%\routes\locales\fa.pak
%APPDATA%\routes\locales\fi.pak
%APPDATA%\routes\locales\fil.pak
%APPDATA%\routes\locales\fr.pak
%APPDATA%\routes\locales\gu.pak
%APPDATA%\routes\locales\he.pak
%APPDATA%\routes\locales\hi.pak
%APPDATA%\routes\locales\hr.pak
%APPDATA%\routes\locales\hu.pak
%APPDATA%\routes\locales\id.pak
%APPDATA%\routes\locales\it.pak
%APPDATA%\routes\locales\ja.pak
%APPDATA%\routes\locales\kn.pak
%APPDATA%\routes\locales\ko.pak
%APPDATA%\routes\locales\lt.pak
%APPDATA%\routes\locales\lv.pak
%APPDATA%\routes\locales\ml.pak
%APPDATA%\routes\locales\mr.pak
%APPDATA%\routes\locales\ms.pak
%APPDATA%\routes\locales\nb.pak
%APPDATA%\routes\locales\nl.pak
%APPDATA%\routes\locales\pl.pak
%APPDATA%\routes\locales\pt-br.pak
%APPDATA%\routes\locales\pt-pt.pak
%APPDATA%\routes\locales\ro.pak
%APPDATA%\routes\locales\ru.pak
%APPDATA%\routes\locales\sk.pak
%APPDATA%\routes\locales\sl.pak
%APPDATA%\routes\locales\sr.pak
%APPDATA%\routes\locales\sv.pak
%APPDATA%\routes\locales\sw.pak
%APPDATA%\routes\locales\ta.pak
%APPDATA%\routes\locales\te.pak
%APPDATA%\routes\locales\th.pak
%APPDATA%\routes\locales\tr.pak
%APPDATA%\routes\locales\uk.pak
%APPDATA%\routes\locales\vi.pak
%APPDATA%\routes\locales\zh-cn.pak
%APPDATA%\routes\locales\zh-tw.pak
%APPDATA%\routes\uninstall.exe
%TEMP%\nsu1f58.tmp\nsiscrypt.dll
%APPDATA%\routes\hvwdf.uax
%TEMP%\nso82f6.tmp

Сетевая активность

Подключается к

'go#####a###ytics.com':80
'pa####.herokuapp.com':443
'oc##.###tg2.amazontrust.com':80
'oc##.####ca1.amazontrust.com':80
'oc##.###01.amazontrust.com':80

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?44##############
http://oc##.###tg2.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBSIfaREXmfqfJR3TkMYnD7O5MhzEgQUnF8A36oB1zArOIiiuG1KnPIRkYMCEwZ%2FlEoqJ83z%2BsKuKwH5CO65xMY%3D
http://oc##.####ca1.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPWaOUU8%2B5VZ5%2Fa9jFTaU9pkK3FAQUhBjMhTTsvAyUlC4IWZzHshBOCggCEwdzEjgLnWaIozse2b%2BczaaODg8%3D
http://oc##.###01.amazontrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBShdVEFnSEQ0gG5CBtzM48cPMe9XwQUgbgOY4qJEhjl%2Bjs7UJWf5uWQE4UCEAYClD1qweFcnP7R%2Box6AAQ%3D

Запросы HTTP POST