Trojan.DownLoader9.8389

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Brmas] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Brmas\bin\Brmas.exe'
'%PROGRAM_FILES%\НшЦ·µјєЅ\brmas_pc[bszemx].exe'

Запускает на исполнение:

'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtQueryValueKey, драйвер-обработчик: Brmas.sys
NtQuerySystemInformation, драйвер-обработчик: Brmas.sys
NtReadFile, драйвер-обработчик: Brmas.sys
NtTerminateProcess, драйвер-обработчик: Brmas.sys
NtSetValueKey, драйвер-обработчик: Brmas.sys
NtOpenKey, драйвер-обработчик: Brmas.sys
NtDeleteKey, драйвер-обработчик: Brmas.sys
NtCreateKey, драйвер-обработчик: Brmas.sys
NtDeleteValueKey, драйвер-обработчик: Brmas.sys
NtEnumerateValueKey, драйвер-обработчик: Brmas.sys
NtEnumerateKey, драйвер-обработчик: Brmas.sys

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Brmas\bin\brmas\db1.brmas
%PROGRAM_FILES%\Brmas\bin\brmas\db0.brmas
%APPDATA%\Brmas\bin\brmas\db3.brmas
%PROGRAM_FILES%\Brmas\setting.ini
%PROGRAM_FILES%\Brmas\bin\fixBrmas.exe
%PROGRAM_FILES%\Brmas\bin\HomeAssist.dll
%PROGRAM_FILES%\Brmas\bin\InstallHelper.dll
%PROGRAM_FILES%\Brmas\bin\SysInfo.dll
%PROGRAM_FILES%\Brmas\bin\uninst.exe
%PROGRAM_FILES%\Brmas\bin\ShellModules.exe
%APPDATA%\Brmas\setting.ini
%APPDATA%\Brmas\bin\brmas\db2.brmas
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\iecafe[1].58
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\updateset[1].58
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update.safe.my.iedun[1].58&mac_add=00-00-00-00-00-01&hid=11000000000000000001&locked=no&url=&md5=ec66584feea538eb13d0f80a74cff3df&rand=198718
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\install[1].58&mac_add=00-00-00-00-00-01&hid=11000000000000000001&md5=ec66584feea538eb13d0f80a74cff3df&rand=197593
%HOMEPATH%\Start Menu\Programs\浏览器修复大师\卸载浏览器修复大师.lnk
%HOMEPATH%\Start Menu\Programs\浏览器修复大师\浏览器修复大师.lnk
%TEMP%\nsh4.tmp\SelfDel.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\homepageset[1].58
%PROGRAM_FILES%\Brmas\bin\ProtConfig.dat
%PROGRAM_FILES%\НшЦ·µјєЅ\brmas_pc[bszemx].exe
%PROGRAM_FILES%\НшЦ·µјєЅ\2345_k28439079_movie.exe
%HOMEPATH%\Desktop\hao123НшЦ·µјєЅ.lnk
%HOMEPATH%\Desktop\2345НшЦ·µјєЅ.lnk
%HOMEPATH%\Desktop\У°КУґуИ«.lnk
%PROGRAM_FILES%\НшЦ·µјєЅ\haoparam.ini
%PROGRAM_FILES%\НшЦ·µјєЅ\url.ini
%PROGRAM_FILES%\НшЦ·µјєЅ\hao123.exe
%PROGRAM_FILES%\НшЦ·µјєЅ\2345_k28439079_desk.exe
%PROGRAM_FILES%\НшЦ·µјєЅ\fanli.exe
%HOMEPATH%\Desktop\МФ±¦ЅсИХМШВф.lnk
%PROGRAM_FILES%\Brmas\bin\BrowserMgr.dll
%PROGRAM_FILES%\Brmas\bin\Brmas.sys
%PROGRAM_FILES%\Brmas\bin\Brmas.dll
%PROGRAM_FILES%\Brmas\bin\CheckList.dll
%PROGRAM_FILES%\Brmas\bin\stat.dll
%TEMP%\nsh4.tmp\System.dll
%TEMP%\nsl3.tmp
%PROGRAM_FILES%\Brmas\bin\install.log
%PROGRAM_FILES%\Brmas\bin\Brmas.exe
%TEMP%\CheckList.dll

Удаляет следующие файлы:

%PROGRAM_FILES%\Brmas\bin\uninst.exe
%PROGRAM_FILES%\НшЦ·µјєЅ\brmas_pc[bszemx].exe
%TEMP%\nsh4.tmp\System.dll
%TEMP%\CheckList.dll
%TEMP%\nsh4.tmp\SelfDel.dll

Сетевая активность:

Подключается к:

'up####.safe.my.iedun.cn':80
'localhost':1035

TCP:

Запросы HTTP GET:

up####.safe.my.iedun.cn/install/?us#############################################################################################################################
up####.safe.my.iedun.cn/?us############################################################################################################################################
up####.safe.my.iedun.cn/home1/updateset/updateset/?co######################
up####.safe.my.iedun.cn/home1/homepageset/?co######################
up####.safe.my.iedun.cn/home1/iecafe/iecafe/?co######################

UDP: