Trojan.DownLoader11.9701

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '602GameBox' = '%PROGRAM_FILES%\602GameBox\602you.exe Auto'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = '%PROGRAM_FILES%\602GameBox\602you.exe Auto'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\heziyd_nslm.exe' /S
'%TEMP%\602cycs_001.exe' /S
'%TEMP%\yxyd_0514.exe' /S
'%PROGRAM_FILES%\602GameBox\602you.exe'
'%TEMP%\602cycs_001.exe' (загружен из сети Интернет)
'%TEMP%\heziyd_nslm.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\DllHost.exe' /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}

Изменения в файловой системе:

Создает следующие файлы:

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\602УОП·єРЧУ\602УОП·єРЧУ.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\602УОП·єРЧУ\Р¶ФШ.lnk
C:\Users\Public\Desktop\602УОП·єРЧУ.lnk
%APPDATA%\Roaming\Microsoft\Internet Explorer\Quick Launch\602УОП·єРЧУ.lnk
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\index[1].php
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\602_com[1]
%PROGRAM_FILES%\602GameBox\bin\Config.ini
%TEMP%\nso73C9.tmp\inetc.dll
%PROGRAM_FILES%\602GameBox\skins\web\shotcut.png
%PROGRAM_FILES%\602GameBox\skins\web\tab.png
%PROGRAM_FILES%\602GameBox\skins\web\service.png
%PROGRAM_FILES%\602GameBox\skins\web\shade.png
%PROGRAM_FILES%\602GameBox\skins\web\yesm.png
%PROGRAM_FILES%\602GameBox\Unins602.exe
%PROGRAM_FILES%\602GameBox\skins\web\top.png
%PROGRAM_FILES%\602GameBox\skins\web\topbk.png
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\602cycs_001[1].exe
%TEMP%\602cycs_001.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\heziyd_nslm[1].exe
%TEMP%\heziyd_nslm.exe
%PROGRAM_FILES%\box.zip
C:\Users\Public\Desktop\游迅游戏盒.lnk
C:\Users\Public\Desktop\Internet Explorer.lnk
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\box[1].zip
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\httpErrorPagesScripts[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\navcancl[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\background_gradient[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\bullet[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\start[1].ini
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\info_48[1]
%PROGRAM_FILES%\602GameBox\skins\web\rightbottom.png
%PROGRAM_FILES%\602GameBox\skins\web\activegame.png
%PROGRAM_FILES%\602GameBox\skins\web\activite.png
%PROGRAM_FILES%\602GameBox\PlayGame.exe
%PROGRAM_FILES%\602GameBox\SYupdate.exe
%PROGRAM_FILES%\602GameBox\skins\web\cache.png
%PROGRAM_FILES%\602GameBox\skins\web\canclem.png
%PROGRAM_FILES%\602GameBox\skins\web\boss.png
%PROGRAM_FILES%\602GameBox\skins\web\bottom.png
%TEMP%\nso73C9.tmp\System.dll
%TEMP%\nso73C9.tmp\NSISdl.dll
%TEMP%\main.zip
%TEMP%\yxyd_0514.exe
%PROGRAM_FILES%\602GameBox\602game.ico
%PROGRAM_FILES%\602GameBox\602you.exe
%TEMP%\602GameBox.ini
%TEMP%\nso73C9.tmp\IMG.dll
%PROGRAM_FILES%\602GameBox\skins\web\message.png
%PROGRAM_FILES%\602GameBox\skins\web\min.png
%PROGRAM_FILES%\602GameBox\skins\web\menu.png
%PROGRAM_FILES%\602GameBox\skins\web\menuing.png
%PROGRAM_FILES%\602GameBox\skins\web\photo.png
%PROGRAM_FILES%\602GameBox\skins\web\refresh.png
%PROGRAM_FILES%\602GameBox\skins\web\net.png
%PROGRAM_FILES%\602GameBox\skins\web\option.png
%PROGRAM_FILES%\602GameBox\skins\web\closem.png
%PROGRAM_FILES%\602GameBox\skins\web\closet.png
%PROGRAM_FILES%\602GameBox\skins\web\checkm.png
%PROGRAM_FILES%\602GameBox\skins\web\close.png
%PROGRAM_FILES%\602GameBox\skins\web\logo.png
%PROGRAM_FILES%\602GameBox\skins\web\max.png
%PROGRAM_FILES%\602GameBox\skins\web\feedback.png
%PROGRAM_FILES%\602GameBox\skins\web\firstfip.png

Удаляет следующие файлы:

%TEMP%\yxyd_0514.exe
%PROGRAM_FILES%\box.zip
%TEMP%\602cycs_001.exe
%TEMP%\heziyd_nslm.exe
%TEMP%\main.zip
%TEMP%\nso73C9.tmp\inetc.dll
%TEMP%\nso73C9.tmp\IMG.dll
%TEMP%\nso73C9.tmp\System.dll
%TEMP%\nso73C9.tmp\NSISdl.dll

Сетевая активность:

Подключается к:

'do##.602.com':80
'bo###.yxdown.com':80
'to####.box.yxdown.com':80
'localhost':53047
'localhost':63095
'in#.602.com':80
'to####.box.602.com':80
'www.60#.com':80

TCP:

Запросы HTTP GET:

do##.602.com/heziyd_nslm.exe
bo###.yxdown.com/llzyxh/start.ini
do##.602.com/602cycs_001.exe
to####.box.yxdown.com/do?fr###############################################################
bo###.yxdown.com/Install/box.zip
www.60#.com/api/index/passport/?sp##############################################################################################################################
in#.602.com/602GameBox.ini
www.60#.com/?m=############################################
to####.box.602.com/do?fr#############################################################
www.60#.com/index.php?m=############################

UDP: