Trojan.DownLoader11.9644

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\wow.exe'
'%WINDIR%\hxwglm.exe'
'%WINDIR%\hxqxgo.exe'
'%WINDIR%\play.exe'
'%WINDIR%\run.exe'
'%WINDIR%\dnf.exe'

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' -r -a -h -s "%TEMP%\apple.exe" /s /d
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\5.tmp\encrypt.bat" "
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\6.tmp\encrypt.bat" "
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\TXplatform.exe" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\temp\*.tmp" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\temp\000*.temp" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\360safe.exe" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\temp\*.xcw" /s /d
'<SYSTEM32>\attrib.exe' /pid=2988
'<SYSTEM32>\attrib.exe' /pid=3000
'<SYSTEM32>\attrib.exe' /pid=2672
'<SYSTEM32>\attrib.exe' /pid=2636
'<SYSTEM32>\attrib.exe' /pid=3060
'<SYSTEM32>\attrib.exe' -r -a -h -s "<SYSTEM32>\config\*.*" /s /d
'<SYSTEM32>\attrib.exe' /pid=3260
'<SYSTEM32>\attrib.exe' -r -a -h -s "<SYSTEM32>\dnfxs.dll" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "<SYSTEM32>\dbr*.ocx" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%CommonProgramFiles%\System\*.*" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%TEMP%\*.*" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "E:\NBMSClient\lpk.dll" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "E:\NBMSClient\usp10.dll" /s /d
'<SYSTEM32>\regsvr32.exe' /s msco.dll
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\play.bat" "
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\Temp\*.*" /s /d
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\encrypt.bat" "
'<SYSTEM32>\attrib.exe' -r -a -h -s "E:\windows\usp10.dll" /s /d
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\4.tmp\encrypt.bat" "
'<SYSTEM32>\attrib.exe' -r -a -h -s "<SYSTEM32>\New.dll" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\system\*.*" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%TEMP%\svchoot.dat" /s /d
'<SYSTEM32>\attrib.exe' -r -a -h -s "%TEMP%\Open.dat" /s /d
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\3.tmp\encrypt.bat" "
'<SYSTEM32>\attrib.exe' -r -a -h -s "%WINDIR%\lpk.dll" /s /d

Внедряет код в

следующие системные процессы:

<SYSTEM32>\attrib.exe
<SYSTEM32>\cmd.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\2.tmp\encrypt.bat
%TEMP%\3.tmp\encrypt.bat
%TEMP%\1.tmp\play.bat
%WINDIR%\cocejcjc.exe
%WINDIR%\dnf.exe
%TEMP%\5.tmp\encrypt.bat
%TEMP%\6.tmp\encrypt.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\hxwglm[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hxwglm[1]
%TEMP%\4.tmp\encrypt.bat
%WINDIR%\bugcool.ini
%WINDIR%\hxwm.exe
%WINDIR%\msco.dll
%WINDIR%\hxwglm.exe
%WINDIR%\hxqx.exe
%WINDIR%\hxqxgo.exe
%WINDIR%\说明.txt
%WINDIR%\play.exe
%WINDIR%\wow.exe
%WINDIR%\MSWINSCK.OCX
%WINDIR%\run.exe

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\hxwglm[1]
%TEMP%\2.tmp\encrypt.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hxwglm[1]
%TEMP%\1.tmp\play.bat
%WINDIR%\system\KEYBOARD.DRV

Перемещает следующие файлы: