Trojan.DownLoader11.24585

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\LPTIO] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\IXP000.TMP\DPInst.exe'
'%HOMEPATH%\My Documents\CDM_Setup.exe'
'%HOMEPATH%\My Documents\AuxSetup_.exe' b*@

Запускает на исполнение:

'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\rundll32.exe' setupapi.dll,InstallHinfSection DefaultInstall 132 %HOMEPATH%\My Documents\realsil.inf
'<SYSTEM32>\rundll32.exe' setupapi.dll,InstallHinfSection UnInstall 132 %HOMEPATH%\My Documents\realsil.inf
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\cmd.exe' /c "%HOMEPATH%\My Documents\setup.bat"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\IXP000.TMP\FTDIBUS.sys
%TEMP%\IXP000.TMP\FTDIBUS.INF
%TEMP%\IXP000.TMP\ftdibus.cat
%TEMP%\IXP000.TMP\ftdiport.cat
%TEMP%\IXP000.TMP\FTDIUNIN.exe
%TEMP%\IXP000.TMP\FTDIUN2K.INI
%TEMP%\IXP000.TMP\FTDIPORT.INF
%TEMP%\IXP000.TMP\FTD2XX.lib
%TEMP%\IXP000.TMP\dpinst.xml
%TEMP%\IXP000.TMP\DPInst.exe
<SYSTEM32>\SET6.tmp
%TEMP%\IXP000.TMP\FTBUSUI.dll
%TEMP%\IXP000.TMP\FTD2XX.H
%TEMP%\IXP000.TMP\FTD2XX.dll
%TEMP%\IXP000.TMP\ftcserco.dll
<SYSTEM32>\DRVSTORE\ftdibus_41D0094FD82F5ACEF718F53EE402A5C1DA98AD8F\ftdiun2k.ini
<SYSTEM32>\DRVSTORE\ftdibus_41D0094FD82F5ACEF718F53EE402A5C1DA98AD8F\ftdibus.cat
<SYSTEM32>\DRVSTORE\ftdibus_41D0094FD82F5ACEF718F53EE402A5C1DA98AD8F\ftdibus.inf
<SYSTEM32>\DRVSTORE\ftdibus_41D0094FD82F5ACEF718F53EE402A5C1DA98AD8F\ftd2xx.dll
<SYSTEM32>\DRVSTORE\ftdibus_41D0094FD82F5ACEF718F53EE402A5C1DA98AD8F\ftbusui.dll
<SYSTEM32>\DRVSTORE\ftdibus_41D0094FD82F5ACEF718F53EE402A5C1DA98AD8F\ftdiunin.exe
<SYSTEM32>\DRVSTORE\ftdibus_41D0094FD82F5ACEF718F53EE402A5C1DA98AD8F\ftdibus.sys
%APPDATA%\Microsoft\CryptnetUrlCache\Content\303572DF538EDD8B1D606185F1D559B8
%TEMP%\IXP000.TMP\ftserui2.dll
%TEMP%\IXP000.TMP\ftser2k.sys
%TEMP%\IXP000.TMP\FTLang.dll
%WINDIR%\DPINST.LOG
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\303572DF538EDD8B1D606185F1D559B8
%APPDATA%\Microsoft\CryptnetUrlCache\Content\904590238400AD963F77FAAAADC9BAB5
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\904590238400AD963F77FAAAADC9BAB5
%HOMEPATH%\My Documents\setup.bat
%HOMEPATH%\My Documents\ftd2xx.dll
%HOMEPATH%\My Documents\RTDUSBDLL.dll
%HOMEPATH%\My Documents\RTDIICDLL.dll
%HOMEPATH%\My Documents\CDM_Setup.exe
%HOMEPATH%\My Documents\LPTIO.dll
%HOMEPATH%\My Documents\RealsilPatch.dll
%HOMEPATH%\My Documents\realsil.inf
%HOMEPATH%\My Documents\CyUsb.sys
%HOMEPATH%\My Documents\LPTIO.inf
%HOMEPATH%\My Documents\realsil.spt
%HOMEPATH%\My Documents\AuxSetup_.exe
%HOMEPATH%\My Documents\CyLoad.inf
%HOMEPATH%\My Documents\CyLoad.sys
%HOMEPATH%\My Documents\LPTIO.sys
%HOMEPATH%\My Documents\CyUsb.inf
<DRIVERS>\CyLoad.sys
<SYSTEM32>\CyLoad\realsil.spt
<SYSTEM32>\Comm\Comm_RealtekUSB.dll
<DRIVERS>\CyUsb.sys
<DRIVERS>\SET3.tmp
%WINDIR%\inf\oem3.PNF
%WINDIR%\inf\oem3.inf
<SYSTEM32>\Comm.dll
<SYSTEM32>\RTDIICDLL.dll
%HOMEPATH%\My Documents\Comm_RealtekUSB.dll
%HOMEPATH%\My Documents\Comm.dll
<SYSTEM32>\LPTIO.dll
<SYSTEM32>\RTDUSBDLL.dll
<SYSTEM32>\CDM_Setup.exe
<SYSTEM32>\ftd2xx.dll