Trojan.DownLoader9.7431

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%APPDATA%\skype.dat'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\twwp-wbjg-nfwf-mrht-cjtslgconnqukk-xlpb-ruzr-dicedr-ysiqzmquynsdyqybez-ndwfixeagnlaouvpakrnqp-[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\fzcj-ynsp-gbnnrpfapi-abjt-crez-tmyk-zntuppcbvrpash-ukqngx-xorc-jkcr-pmznfrnmua-rtfvrnhtqugdrkoa[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\eluq-fplg-sncexczjifwp-goxt-iizn-rtus-pljxak-nwytqklxnwrzbtkqrivqoshe-rzkdoa-suxx-bfwi-frtf-qcpr[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\eg-nlxjigyhvaxlsypmnlnhyvhcrnspyssiqcyspfbcye-vpvq-iqfmattyplnhsyofcr-xpuk-wbea-yhrk-zmnl-ac[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xtgx-tyebmsqtus-qzbfdhdfuoamxvxvjvbq-pztezvptcrpyyqyspf-amkf-fcmv-jwey-gltecbhjkbip-ftxfehgo[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\rtiouulmldwkclalbt-ysqu-rodaxp-kbsrdwebzmuxnocd-ldykqkxfqpphbippfr-jxrp-uasr-ixzjfcysezabqp[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\pljvzv-yxpa-jheluqzrwg-rivlpvqnoawfmvuamr-uunlcqjpzr-cgdn-jpgn-ygqz-ezxs-hjgx-cosyltpbsdyjzvyk[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kortiouulmldwkcl-dwpmebfcea-crltbqppgn-rqmvnh-fapmamigarteauqnyxjkrihtneqcvk-jpnl-xslgxsna[1].php
%APPDATA%\skype.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wkclalbc-gocnpmezjgglyhlt-ltsu-qtop-tsrz-kyohiiqknlraxi-ripadkonddvlxjyxytvq-vayx-cjxj-jzjx-yk[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\pljvzvyxpajheluqzr-wgri-vlpv-qnoawfmvuamr-uunl-cqjpzrcgdn-jpgnygqzezxshjgxcosyltpbsd-yjzvyk-[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ejda-pljv-zvyxpajhwgjx-dwbf-mynbow-iqmv-uxqkzvusshxqclosdffa-ltpv-cdmy-gboygj-qkda-zmhe-qppf-gjtw-[1].html

Сетевая активность:

Подключается к:

'as##.xxuz.com':80
'ca####gspanish.in':80
'am####izontally.us':80

TCP:

Запросы HTTP GET:

as##.xxuz.com/post/rtiouulmldwkclalbt-ysqu-rodaxp-kbsrdwebzmuxnocd-ldykqkxfqpphbippfr-jxrp-uasr-ixzjfcysezabqp.html
ca####gspanish.in/o/twwp-wbjg-nfwf-mrht-cjtslgconnqukk-xlpb-ruzr-dicedr-ysiqzmquynsdyqybez-ndwfixeagnlaouvpakrnqp-.php
am####izontally.us/o/fzcj-ynsp-gbnnrpfapi-abjt-crez-tmyk-zntuppcbvrpash-ukqngx-xorc-jkcr-pmznfrnmua-rtfvrnhtqugdrkoa.php
as##.xxuz.com/o/cd-nbvp-hero-vnvy-vlst-yvdu-xojg-ardh-sdiq-ltrcjtgnsdmypyjpdibczmdfri-rzfvteezwidmduqt-zhbqrn-io.php
ca####gspanish.in/post/eg-nlxjigyhvaxlsypmnlnhyvhcrnspyssiqcyspfbcye-vpvq-iqfmattyplnhsyofcr-xpuk-wbea-yhrk-zmnl-ac.html
am####izontally.us/o/xtgx-tyebmsqtus-qzbfdhdfuoamxvxvjvbq-pztezvptcrpyyqyspf-amkf-fcmv-jwey-gltecbhjkbip-ftxfehgo.php
as##.xxuz.com/questions/ejda-pljv-zvyxpajhwgjx-dwbf-mynbow-iqmv-uxqkzvusshxqclosdffa-ltpv-cdmy-gboygj-qkda-zmhe-qppf-gjtw-.html
ca####gspanish.in/questions/pljvzv-yxpa-jheluqzrwg-rivlpvqnoawfmvuamr-uunlcqjpzr-cgdn-jpgn-ygqz-ezxs-hjgx-cosyltpbsdyjzvyk.html
am####izontally.us/o/kortiouulmldwkcl-dwpmebfcea-crltbqppgn-rqmvnh-fapmamigarteauqnyxjkrihtneqcvk-jpnl-xslgxsna.php
as##.xxuz.com/questions/eluq-fplg-sncexczjifwp-goxt-iizn-rtus-pljxak-nwytqklxnwrzbtkqrivqoshe-rzkdoa-suxx-bfwi-frtf-qcpr.html
ca####gspanish.in/post/wkclalbc-gocnpmezjgglyhlt-ltsu-qtop-tsrz-kyohiiqknlraxi-ripadkonddvlxjyxytvq-vayx-cjxj-jzjx-yk.html
am####izontally.us/questions/pljvzvyxpajheluqzr-wgri-vlpv-qnoawfmvuamr-uunl-cqjpzrcgdn-jpgnygqzezxshjgxcosyltpbsd-yjzvyk-.html