Trojan.DownLoader11.5599

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '9217ff1555ee7f5a11fb03f0e79ff337' = '"%TEMP%\server.exe" ..'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '9217ff1555ee7f5a11fb03f0e79ff337' = '"%TEMP%\server.exe" ..'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\server.exe' = '%TEMP%\server.exe:*:Enabled:server.exe'

Создает и запускает на исполнение:

'C:\Extracted\vcredist_x86.exe'
'C:\c0a16f93c39a98f41b\Setup.exe'
'C:\Extracted\xxxxx.exe'
'%TEMP%\server.exe'

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\server.exe" "server.exe" ENABLE

Изменения в файловой системе:

Создает следующие файлы:

C:\c0a16f93c39a98f41b\1049\LocalizedData.xml
C:\c0a16f93c39a98f41b\1049\eula.rtf
C:\c0a16f93c39a98f41b\3082\eula.rtf
C:\c0a16f93c39a98f41b\1049\SetupResources.dll
C:\c0a16f93c39a98f41b\Graphics\Rotate2.ico
C:\c0a16f93c39a98f41b\Graphics\Rotate3.ico
C:\c0a16f93c39a98f41b\Graphics\Print.ico
C:\c0a16f93c39a98f41b\Graphics\Rotate1.ico
C:\c0a16f93c39a98f41b\3082\LocalizedData.xml
C:\c0a16f93c39a98f41b\1036\LocalizedData.xml
C:\c0a16f93c39a98f41b\1036\eula.rtf
C:\c0a16f93c39a98f41b\1040\eula.rtf
C:\c0a16f93c39a98f41b\1036\SetupResources.dll
C:\c0a16f93c39a98f41b\1031\eula.rtf
C:\c0a16f93c39a98f41b\3082\SetupResources.dll
C:\c0a16f93c39a98f41b\1031\SetupResources.dll
C:\c0a16f93c39a98f41b\1031\LocalizedData.xml
C:\c0a16f93c39a98f41b\vc_red.cab
C:\c0a16f93c39a98f41b\vc_red.msi
C:\c0a16f93c39a98f41b\Graphics\stop.ico
C:\c0a16f93c39a98f41b\Graphics\warn.ico
%TEMP%\Setup_20140405_100903359.html
%TEMP%\Microsoft Visual C++ 2010 x86 Redistributable Setup_20140405_100908015.html
C:\c0a16f93c39a98f41b\$shtdwn$.req
%TEMP%\HFI2.tmp.html
C:\c0a16f93c39a98f41b\Graphics\SysReqNotMet.ico
C:\c0a16f93c39a98f41b\Graphics\Rotate6.ico
C:\c0a16f93c39a98f41b\Graphics\Rotate7.ico
C:\c0a16f93c39a98f41b\Graphics\Rotate4.ico
C:\c0a16f93c39a98f41b\Graphics\Rotate5.ico
C:\c0a16f93c39a98f41b\Graphics\Setup.ico
C:\c0a16f93c39a98f41b\Graphics\SysReqMet.ico
C:\c0a16f93c39a98f41b\Graphics\Rotate8.ico
C:\c0a16f93c39a98f41b\Graphics\Save.ico
C:\c0a16f93c39a98f41b\header.bmp
C:\c0a16f93c39a98f41b\DisplayIcon.ico
C:\c0a16f93c39a98f41b\sqmapi.dll
C:\c0a16f93c39a98f41b\watermark.bmp
C:\c0a16f93c39a98f41b\SplashScreen.bmp
C:\c0a16f93c39a98f41b\ParameterInfo.xml
C:\c0a16f93c39a98f41b\UiInfo.xml
C:\c0a16f93c39a98f41b\Strings.xml
C:\c0a16f93c39a98f41b\SetupUi.xsd
C:\Extracted\xxxxx.exe
%TEMP%\server.exe
%TEMP%\sfx.ini
C:\Extracted\vcredist_x86.exe
C:\c0a16f93c39a98f41b\SetupEngine.dll
C:\c0a16f93c39a98f41b\SetupUi.dll
C:\c0a16f93c39a98f41b\DHtmlHeader.html
C:\c0a16f93c39a98f41b\Setup.exe
C:\c0a16f93c39a98f41b\1028\eula.rtf
C:\c0a16f93c39a98f41b\2052\SetupResources.dll
C:\c0a16f93c39a98f41b\1028\SetupResources.dll
C:\c0a16f93c39a98f41b\1028\LocalizedData.xml
C:\c0a16f93c39a98f41b\1040\SetupResources.dll
C:\c0a16f93c39a98f41b\1040\LocalizedData.xml
C:\c0a16f93c39a98f41b\2052\LocalizedData.xml
C:\c0a16f93c39a98f41b\2052\eula.rtf
C:\c0a16f93c39a98f41b\1042\eula.rtf
C:\c0a16f93c39a98f41b\1033\eula.rtf
C:\c0a16f93c39a98f41b\1041\SetupResources.dll
C:\c0a16f93c39a98f41b\1033\SetupResources.dll
C:\c0a16f93c39a98f41b\1033\LocalizedData.xml
C:\c0a16f93c39a98f41b\1042\SetupResources.dll
C:\c0a16f93c39a98f41b\1042\LocalizedData.xml
C:\c0a16f93c39a98f41b\1041\LocalizedData.xml
C:\c0a16f93c39a98f41b\1041\eula.rtf

Удаляет следующие файлы:

%TEMP%\sfx.ini

Перемещает следующие файлы:

%TEMP%\Setup_20140405_100903359.html в %TEMP%\Microsoft Visual C++ 2010 x86 Redistributable Setup_20140405_100908015.html
%TEMP%\HFI2.tmp.html в %TEMP%\Setup_20140405_100903359.html

Сетевая активность:

Подключается к: