Trojan.DownLoader11.8857

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe' = '%PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe:*:Enabled:DualDesk-Server'

Создает и запускает на исполнение:

'%TEMP%\nsg6.tmp\nsC.tmp' "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe" "DualDesk-Server" ENABLE ALL
'%TEMP%\nsg6.tmp\nsB.tmp' "%PROGRAM_FILES%\DD20.4.4201404221612\Uninst.exe"
'%TEMP%\nsg6.tmp\nsD.tmp' "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe" "DualDesk-Server" ENABLE
'%PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe'
'%PROGRAM_FILES%\DD20.4.4201404221612\DDHelper.exe'
'%TEMP%\nsg6.tmp\ns7.tmp' "sc.exe" delete DD_Service
'%TEMP%\nsl3.tmp\DD_owa.esllc.com_5570.exe' /13712953201-1206823965_Essential Solutions LLC/0
'%TEMP%\nsg6.tmp\ns8.tmp' "sc.exe" delete DD_CAD
'%TEMP%\nsg6.tmp\nsA.tmp' ""
'%TEMP%\nsg6.tmp\ns9.tmp' "net.exe" stop DD_Service

Запускает на исполнение:

'<SYSTEM32>\net1.exe' stop DD_Service
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe" "DualDesk-Server" ENABLE ALL
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe" "DualDesk-Server" ENABLE
'<SYSTEM32>\sc.exe' delete DD_Service
'<SYSTEM32>\sc.exe' delete DD_CAD
'<SYSTEM32>\net.exe' stop DD_Service

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsg6.tmp\cad.exe
%TEMP%\nsg6.tmp\DualDesk.exe
%TEMP%\nsl3.tmp\Configs\DD20.4.4.txt
%PROGRAM_FILES%\DD20.4.4201404221612\DD.txt
%TEMP%\nsl3.tmp\ToolBox\DD20.4.4.txt
%TEMP%\nsg6.tmp\ns9.tmp
%TEMP%\nsg6.tmp\ns8.tmp
%TEMP%\nsg6.tmp\nsA.tmp
%PROGRAM_FILES%\DD20.4.4201404221612\UnDD.txt
%TEMP%\nsg6.tmp\nsB.tmp
%PROGRAM_FILES%\DD20.4.4201404221612\ToolBox\DDHelper.lnk
%HOMEPATH%\Desktop\ToolBox 20.4.4.0.lnk
%PROGRAM_FILES%\DD20.4.4201404221612\ToolBox\DualDesk.lnk
%TEMP%\1-1206823965.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1-1206823965[1].txt
%TEMP%\nsg6.tmp\nsD.tmp
%TEMP%\nsg6.tmp\nsC.tmp
%PROGRAM_FILES%\DD20.4.4201404221612\StopDD.reg
%HOMEPATH%\Desktop\Stop Remote Support.lnk
%PROGRAM_FILES%\DD20.4.4201404221612\Uninst.exe
%TEMP%\nsl3.tmp\Icon1.ico
%TEMP%\nsl3.tmp\Logo.bmp
%TEMP%\nsl3.tmp\Icon2.ico
%TEMP%\nsl3.tmp\Ring.wav
%TEMP%\nsl3.tmp\Blank.bmp
%TEMP%\nsl3.tmp\DD_owa.esllc.com_5570.exe
%TEMP%\nsq2.tmp
%TEMP%\nsl3.tmp\ddHelper.exe
%TEMP%\nsl3.tmp\Splash.bmp
%TEMP%\nsl3.tmp\DD.txt
%HOMEPATH%\Start Menu\Programs\Administrative Tools\desktop.ini
%PROGRAM_FILES%\DD20.4.4201404221612\Advantig.txt
%HOMEPATH%\My Documents\My Videos\Desktop.ini
%TEMP%\nsg6.tmp\ns7.tmp
%TEMP%\nsg6.tmp\nsExec.dll
%TEMP%\nsg6.tmp\Splash.dll
%TEMP%\nsf5.tmp
%TEMP%\nsg6.tmp\NSISdl.dll
%TEMP%\nsisdt.dll
%TEMP%\nsl3.tmp\DD1-1206823965.txt

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Перемещает следующие файлы:

%TEMP%\nsl3.tmp\DD.txt в %PROGRAM_FILES%\DD20.4.4201404221612\DD.txt
%TEMP%\nsl3.tmp\Ring.wav в %PROGRAM_FILES%\DD20.4.4201404221612\Ring.wav
%TEMP%\nsg6.tmp\DualDesk.exe в %PROGRAM_FILES%\DD20.4.4201404221612\DualDesk.exe
%TEMP%\nsl3.tmp\ddHelper.exe в %PROGRAM_FILES%\DD20.4.4201404221612\DDHelper.exe
%TEMP%\nsl3.tmp\Icon1.ico в %PROGRAM_FILES%\DD20.4.4201404221612\icon1.ico
%TEMP%\nsl3.tmp\Logo.bmp в %PROGRAM_FILES%\DD20.4.4201404221612\Logo.bmp
%TEMP%\nsl3.tmp\Blank.bmp в %PROGRAM_FILES%\DD20.4.4201404221612\Blank.bmp
%TEMP%\nsl3.tmp\Icon2.ico в %PROGRAM_FILES%\DD20.4.4201404221612\icon2.ico

Сетевая активность:

Подключается к: