Trojan.DownLoader11.21436

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\srvBrowserProtect] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\BrowserProtect\srvBrowserProtect.exe'
'%TEMP%\nsi2.tmp\ns4.tmp' taskkill /f /im myproxy.exe
'%TEMP%\nsi2.tmp\ns3.tmp' taskkill /f /im BrowserProtectIU.exe

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /f /im myproxy.exe
'<SYSTEM32>\taskkill.exe' /f /im BrowserProtectIU.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nso10.tmp
%TEMP%\nsxF.tmp
%TEMP%\nslE.tmp
%TEMP%\nsa13.tmp
%TEMP%\nsi12.tmp
%TEMP%\nsw11.tmp
%TEMP%\nstA.tmp
%TEMP%\nsh9.tmp
%TEMP%\nsa8.tmp
%TEMP%\nstD.tmp
%TEMP%\nscC.tmp
%TEMP%\nsfB.tmp
%TEMP%\nsk1C.tmp
%TEMP%\nsf1B.tmp
%TEMP%\nsk1A.tmp
%PROGRAM_FILES%\BrowserProtect\versionBPSrvSw
%PROGRAM_FILES%\BrowserProtect\updateSrv\updateBPSrv.zip
%PROGRAM_FILES%\BrowserProtect\uninstall.exe
%TEMP%\nsg16.tmp
%TEMP%\nsy15.tmp
%TEMP%\nsr14.tmp
%TEMP%\nss19.tmp
%TEMP%\nsf18.tmp
%TEMP%\nsd17.tmp
%TEMP%\nst7.tmp
%PROGRAM_FILES%\BrowserProtect\proxy\exclusions
%PROGRAM_FILES%\BrowserProtect\proxy\config
%TEMP%\nsi2.tmp\tkDecript.dll
%PROGRAM_FILES%\BrowserProtect\proxy\zlibwapi.dll
%PROGRAM_FILES%\BrowserProtect\proxy\myproxy.exe
%PROGRAM_FILES%\BrowserProtect\proxy\matches
%TEMP%\nsi2.tmp\ns3.tmp
%TEMP%\nsi2.tmp\nsExec.dll
%TEMP%\nsi2.tmp\SimpleSC.dll
%TEMP%\nsi2.tmp\nsBR.dll
%TEMP%\nsi2.tmp\System.dll
%TEMP%\nsi2.tmp\ns4.tmp
%PROGRAM_FILES%\BrowserProtect\search-with-eazelbar.xml
%PROGRAM_FILES%\BrowserProtect\translations.xml
%PROGRAM_FILES%\BrowserProtect\Newtonsoft.Json.dll
%TEMP%\nsf6.tmp
%TEMP%\nsr5.tmp
%PROGRAM_FILES%\BrowserProtect\Web Data
%PROGRAM_FILES%\BrowserProtect\BrowserProtectIUW8.exe
%PROGRAM_FILES%\BrowserProtect\srvBrowserProtect.exe
%PROGRAM_FILES%\BrowserProtect\BrowserProtectIU.exe
%PROGRAM_FILES%\BrowserProtect\Interop.Shell32.dll
%PROGRAM_FILES%\BrowserProtect\config.xml
%PROGRAM_FILES%\BrowserProtect\srvBrowserProtectW8.exe

Удаляет следующие файлы:

%TEMP%\nsi2.tmp\nsExec.dll
%TEMP%\nsi2.tmp\nsBR.dll
%PROGRAM_FILES%\BrowserProtect\proxy\config.old
%TEMP%\nsi2.tmp\SimpleSC.dll
%PROGRAM_FILES%\BrowserProtect\updateSrv\updateBPSrv.zip
%TEMP%\nsi2.tmp\tkDecript.dll
%TEMP%\nsi2.tmp\System.dll
%PROGRAM_FILES%\BrowserProtect\BrowserProtectIUW8.exe
%TEMP%\nsi2.tmp\ns4.tmp
%TEMP%\nsi2.tmp\ns3.tmp
%PROGRAM_FILES%\BrowserProtect\BrowserProtectIUW8.exe.config
%PROGRAM_FILES%\BrowserProtect\config.xml.old
%PROGRAM_FILES%\BrowserProtect\BrowserProtectIU.exe.config.old
%PROGRAM_FILES%\BrowserProtect\srvBrowserProtectW8.exe

Перемещает следующие файлы:

%TEMP%\nsr14.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsy15.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsg16.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsw11.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsi12.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsa13.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsd17.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsk1A.tmp в %PROGRAM_FILES%\BrowserProtect\proxy\config
%TEMP%\nsf1B.tmp в %PROGRAM_FILES%\BrowserProtect\proxy\config
%TEMP%\nsk1C.tmp в %PROGRAM_FILES%\BrowserProtect\proxy\config
%TEMP%\nsf18.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nss19.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%PROGRAM_FILES%\BrowserProtect\proxy\config в %PROGRAM_FILES%\BrowserProtect\proxy\config.old
%TEMP%\nso10.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%PROGRAM_FILES%\BrowserProtect\config.xml в %PROGRAM_FILES%\BrowserProtect\config.xml.old
%TEMP%\nst7.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsa8.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%PROGRAM_FILES%\BrowserProtect\BrowserProtectIU.exe.config в %PROGRAM_FILES%\BrowserProtect\BrowserProtectIU.exe.config.old
%TEMP%\nsr5.tmp в %PROGRAM_FILES%\BrowserProtect\BrowserProtectIU.exe.config
%TEMP%\nsf6.tmp в %PROGRAM_FILES%\BrowserProtect\BrowserProtectIU.exe.config
%TEMP%\nsh9.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nstD.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nslE.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsxF.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nstA.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nsfB.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml
%TEMP%\nscC.tmp в %PROGRAM_FILES%\BrowserProtect\config.xml