Trojan.DownLoader11.18153

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'SymbalooInstaller' = '%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\symb..tion_52c910e006b5901b_0001.0000_8b6955e589785b8a\SymbalooSoftware.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\symb..tion_52c910e006b5901b_0001.0000_8b6955e589785b8a\SymbalooSoftware.exe'

Запускает на исполнение:

'%WINDIR%\Microsoft.NET\Framework\v4.0.30319\dfsvc.exe'
'<SYSTEM32>\rundll32.exe' dfshim.dll,ShOpenVerbApplication C:\Symbaloo\install\SymbalooSoftware.application

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Deployment\6M7699RK.3WO\4DTM7PLC.QO5\SymbalooSoftware.exe
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\manifests\symb..tion_52c910e006b5901b_0001.0000_none_d07f0cb29024a9c1.manifest
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\manifests\symb..tion_52c910e006b5901b_0001.0000_none_d07f0cb29024a9c1.cdf-ms
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab1.tmp
%TEMP%\Deployment\6M7699RK.3WO\4DTM7PLC.QO5\SymbalooSoftware.exe.config
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\manifests\symb...exe_52c910e006b5901b_0001.0000_none_793b941ddf58cff6.manifest
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\symb..tion_52c910e006b5901b_0001.0000_8b6955e589785b8a\SymbalooSoftware.cdf-ms
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\symb..tion_52c910e006b5901b_0001.0000_8b6955e589785b8a\SymbalooSoftware.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\CA0XKL4N.log
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\manifests\symb...exe_52c910e006b5901b_0001.0000_none_793b941ddf58cff6.cdf-ms
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\symb...exe_52c910e006b5901b_0001.0000_none_793b941ddf58cff6\SymbalooSoftware.exe.config
%HOMEPATH%\Local Settings\Apps\2.0\P2PC49Y0.TKA\QX3MPMRM.ZGO\symb..tion_52c910e006b5901b_0001.0000_8b6955e589785b8a\SymbalooSoftware.manifest
C:\Symbaloo\install\Application Files\SymbalooSoftware_1_0_0_58\SymbalooSoftware.exe.manifest
C:\Symbaloo\install\SymbalooSoftware.application
%TEMP%\Deployment\RTNTG70N.YEQ\QW77Q2P2.HNE.application
C:\Symbaloo\install\Application Files\SymbalooSoftware_1_0_0_58\SymbalooSoftware.application
C:\Symbaloo\install\Application Files\SymbalooSoftware_1_0_0_58\SymbalooSoftware.exe.config.deploy
C:\Symbaloo\install\Application Files\SymbalooSoftware_1_0_0_58\SymbalooSoftware.exe.deploy
%TEMP%\Deployment\6M7699RK.3WO\4DTM7PLC.QO5\SymbalooSoftware.exe.manifest
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\b9a00037-867e-42fc-9ae7-36c0cb8978bb
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\932a2db58c237abd381d22df4c63a04a_23ef5514-3059-436f-a4a7-4cefaab20eb1

Удаляет следующие файлы:

%TEMP%\Deployment\6M7699RK.3WO\4DTM7PLC.QO5\SymbalooSoftware.exe.genman
%TEMP%\Deployment\6M7699RK.3WO\4DTM7PLC.QO5\SymbalooSoftware.exe.manifest
%TEMP%\Deployment\RTNTG70N.YEQ\QW77Q2P2.HNE.application
%TEMP%\Cab1.tmp
%TEMP%\Deployment\6M7699RK.3WO\4DTM7PLC.QO5\SymbalooSoftware.exe
%TEMP%\Deployment\6M7699RK.3WO\4DTM7PLC.QO5\SymbalooSoftware.exe.config

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
wp#d/wpad.dat

UDP: