Trojan.DownLoader11.25088

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\TaoTongKuanUpdateTask.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'<LS_APPDATA>\TaoTaoSou\TTK\TaoTaoSou.exe' -hide
'<LS_APPDATA>\TaoTaoSou\TTK\TTKMonitor.exe' -install

Запускает на исполнение:

'<SYSTEM32>\net1.exe' start Schedule
'<SYSTEM32>\sc.exe' config Schedule start= auto

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\TaoTaoSou\TTK\TTKMonitor.exe
<LS_APPDATA>\TaoTaoSou\TTK\localpage\styles\network.css
<LS_APPDATA>\TaoTaoSou\TTK\localpage\scripts\redirect.js
<LS_APPDATA>\TaoTaoSou\TTK\logs\2014-7-30.log
<LS_APPDATA>\TaoTaoSou\TTK\default.dat
<LS_APPDATA>\TaoTaoSou\TTK\monitor.ini
<LS_APPDATA>\TaoTaoSou\TTK\localpage\scripts\network.js
<LS_APPDATA>\TaoTaoSou\TTK\localpage\images\client_bg.png
<LS_APPDATA>\TaoTaoSou\TTK\localpage\images\ajax_load.gif
<LS_APPDATA>\TaoTaoSou\TTK\license.txt
<LS_APPDATA>\TaoTaoSou\TTK\localpage\mustache\redirect.html
<LS_APPDATA>\TaoTaoSou\TTK\localpage\mustache\network.html
<LS_APPDATA>\TaoTaoSou\TTK\localpage\images\network.png
%APPDATA%\Taotaosou\ttsusign
%HOMEPATH%\Start Menu\Programs\МФМФЛС±ИјЫ(МФН¬їо)\Р¶ФШМФМФЛС±ИјЫ(МФН¬їо).lnk
%HOMEPATH%\Start Menu\Programs\МФМФЛС±ИјЫ(МФН¬їо)\МФМФЛС±ИјЫ(МФН¬їо)ЦчТі.lnk
%HOMEPATH%\Start Menu\Programs\МФМФЛС±ИјЫ(МФН¬їо)\МФМФЛС±ИјЫ(МФН¬їо)К№УГ№ҐВФ.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\client.re.taotaosou[1]
%APPDATA%\Taotaosou\TTSConfig.ini
%TEMP%\nsv3.tmp\Internet.dll
%HOMEPATH%\Start Menu\Programs\МФМФЛС±ИјЫ(МФН¬їо)\МФМФЛС±ИјЫ(МФН¬їо).lnk
%TEMP%\nsv3.tmp\md5dll.dll
<LS_APPDATA>\TaoTaoSou\TTK\netinfo.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\install_log[1].htm
%HOMEPATH%\Desktop\МФМФЛС±ИјЫ(МФН¬їо).lnk
<LS_APPDATA>\TaoTaoSou\ttk_icon_s_1.ico
<LS_APPDATA>\TaoTaoSou\TTK\Uninstall.exe
<LS_APPDATA>\TaoTaoSou\TTK\dump.dll
<LS_APPDATA>\TaoTaoSou\TTK\tts.browser.chrome.crx
<LS_APPDATA>\TaoTaoSou\TTK\360se.browser.zip
<LS_APPDATA>\TaoTaoSou\TTK\uninst128.ico
<LS_APPDATA>\TaoTaoSou\TTK\tts.browser.maxthon.mxaddon
<LS_APPDATA>\TaoTaoSou\TTK\tts.browser.firefox.xpi
<LS_APPDATA>\TaoTaoSou\TTK\tts.browser.sogou.sext
<LS_APPDATA>\TaoTaoSou\TTK\ttk_icon.ico
%TEMP%\nsv3.tmp\closebrowerpage.ini
%TEMP%\nsv3.tmp\cpage.ini
%TEMP%\nsg2.tmp
%TEMP%\nsv3.tmp\FindProcDLL.dll
%TEMP%\nsv3.tmp\System.dll
%TEMP%\nsv3.tmp\TTKInsAssistant.dll
<LS_APPDATA>\TaoTaoSou\TTK\360SE_1
<LS_APPDATA>\TaoTaoSou\TTK\TTKInsAssistant.dll
<LS_APPDATA>\TaoTaoSou\TTK\nptaotaosouplugin.dll
<LS_APPDATA>\TaoTaoSou\TTK\TTSUNRegPlugin.bat
<LS_APPDATA>\TaoTaoSou\TTK\TaoTaoSou.exe
<LS_APPDATA>\TaoTaoSou\TTK\DuiLib.dll
<LS_APPDATA>\TaoTaoSou\TTK\CrashReport.exe
<LS_APPDATA>\TaoTaoSou\TTK\TTSRegPlugin.bat
<LS_APPDATA>\TaoTaoSou\TTK\TTKSextIns.exe
<LS_APPDATA>\TaoTaoSou\TTK\Chrome_2
<LS_APPDATA>\TaoTaoSou\TTK\360SE_2
<LS_APPDATA>\TaoTaoSou\TTK\TTSIEPlugin_64.dll
<LS_APPDATA>\TaoTaoSou\TTK\TTSIEPlugin.dll
<LS_APPDATA>\TaoTaoSou\TTK\extkey.ini

Удаляет следующие файлы:

%TEMP%\nsv3.tmp\Internet.dll
%TEMP%\nsv3.tmp\FindProcDLL.dll
%TEMP%\nsv3.tmp\cpage.ini
%TEMP%\nsv3.tmp\TTKInsAssistant.dll
%TEMP%\nsv3.tmp\System.dll
%TEMP%\nsv3.tmp\md5dll.dll
%TEMP%\nsv3.tmp\closebrowerpage.ini
<LS_APPDATA>\TaoTaoSou\TTK\tts.browser.chrome.crx
<LS_APPDATA>\TaoTaoSou\TTK\360se.browser.zip
<LS_APPDATA>\TaoTaoSou\TTK\Chrome_2
<LS_APPDATA>\TaoTaoSou\TTK\extkey.ini
<LS_APPDATA>\TaoTaoSou\TTK\tts.browser.maxthon.mxaddon
<LS_APPDATA>\TaoTaoSou\TTK\tts.browser.firefox.xpi

Сетевая активность:

Подключается к:

'lo#.##otaosou.com':80
'cl####.re.taotaosou.com':80
'localhost':1040
'12#.#25.114.144':80
'lo#.##sunion.com':80

TCP:

Запросы HTTP GET:

lo#.##otaosou.com/browser_statistics.do?ty#####################################
cl####.re.taotaosou.com/
lo#.##sunion.com/install_statistics.do?ty#################################################################################################################################################
lo#.##otaosou.com/browser_statistics.do?ty########################################

Запросы HTTP POST: