Trojan.DownLoader11.19712

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\TiUurERVg] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsw28.tmp\RadsteroidsInstall.exe' 130261 7f5dc69eb3224a44bfbac5df1952258f
'%ALLUSERSPROFILE%\Application Data\GPAaitQoFh\TiUurERVg.exe'
'%TEMP%\nst2.tmp\CEInstaller.exe' -run silent -sid 27
'%TEMP%\nst2.tmp\AdsteriodsSetup.exe' /S

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\yfth1odh.sci.bat" "
'<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 3000
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\izbbk5hj.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A.tmp" "%TEMP%\CSC19.tmp"

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe
firefox.exe
chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsw28.tmp\RadsteroidsInstall.exe
%ALLUSERSPROFILE%\Application Data\Radsteroids\Uninstall.exe
%ALLUSERSPROFILE%\Application Data\Radsteroids\Radsteroids.ico
%ALLUSERSPROFILE%\Application Data\Radsteroids\data.dat
%ALLUSERSPROFILE%\Application Data\Radsteroids\data.dat-journal
%ALLUSERSPROFILE%\Application Data\Radsteroids\app.dat
%TEMP%\nsw28.tmp\versionex.dll
%TEMP%\yfth1odh.sci.bat
%TEMP%\Cab25.tmp
%TEMP%\Cab23.tmp
%TEMP%\nsw28.tmp\Helper.dll
%TEMP%\nsw28.tmp\System.dll
%TEMP%\nst2.tmp\AdsteriodsSetup.exe
%ALLUSERSPROFILE%\Application Data\GPAaitQoFh\TiUurERVg.dat
%ALLUSERSPROFILE%\Application Data\GPAaitQoFh\info.dat
%TEMP%\Cab37.tmp
%TEMP%\nst2.tmp\manlib.dll
%TEMP%\nst2.tmp\registry.dll
%ALLUSERSPROFILE%\Application Data\GPAaitQoFh\TiUurERVg.exe
%TEMP%\Cab35.tmp
%TEMP%\Cab2D.tmp
%TEMP%\Cab2B.tmp
%TEMP%\Cab29.tmp
%TEMP%\Cab33.tmp
%TEMP%\Cab31.tmp
%TEMP%\Cab2F.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab9.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab11.tmp
%TEMP%\CabF.tmp
%TEMP%\CabD.tmp
%TEMP%\Cab5.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\nst2.tmp\CEInstaller.exe
%TEMP%\Cab3.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab1B.tmp
%TEMP%\izbbk5hj.dll
%TEMP%\RES1A.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab1D.tmp
%TEMP%\CSC19.tmp
%TEMP%\Cab17.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab13.tmp
%TEMP%\izbbk5hj.out
%TEMP%\izbbk5hj.cmdline
%TEMP%\izbbk5hj.0.cs

Удаляет следующие файлы:

%TEMP%\nsw28.tmp\Helper.dll
%TEMP%\Cab29.tmp
%TEMP%\nsw28.tmp\RadsteroidsInstall.exe.config
%TEMP%\nsw28.tmp\versionex.dll
%TEMP%\nsw28.tmp\System.dll
%TEMP%\Cab23.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab25.tmp
%ALLUSERSPROFILE%\Application Data\Radsteroids\data.dat-journal
%TEMP%\nst2.tmp\CEInstaller.exe
%TEMP%\Cab37.tmp
%TEMP%\Cab35.tmp
%TEMP%\nst2.tmp\AdsteriodsSetup.exe
%TEMP%\nst2.tmp\registry.dll
%TEMP%\nst2.tmp\manlib.dll
%TEMP%\Cab2D.tmp
%TEMP%\Cab2B.tmp
%TEMP%\Cab2F.tmp
%TEMP%\Cab33.tmp
%TEMP%\Cab31.tmp
%TEMP%\CabF.tmp
%TEMP%\CabD.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab7.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab9.tmp
%TEMP%\izbbk5hj.out
%TEMP%\izbbk5hj.cmdline
%TEMP%\Cab1B.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab1D.tmp
%TEMP%\RES1A.tmp
%TEMP%\Cab17.tmp
%TEMP%\CSC19.tmp
%TEMP%\izbbk5hj.dll
%TEMP%\izbbk5hj.0.cs

Сетевая активность:

Подключается к:

'ho##.###tentexplorer.net':80
'l.####teroids.com':80
'wp#d':80
'www.download.windowsupdate.com':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
ho##.###tentexplorer.net/getinstaller/?af#######################
wp#d/wpad.dat
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

Запросы HTTP POST: