Trojan.DownLoader11.27435

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\vueshtnn.exe'
'%TEMP%\lqpu.exe'
'%TEMP%\geij.exe'
'%TEMP%\dkwegrn.exe'
'%TEMP%\fpvh.exe'
'%TEMP%\xehvjcl.exe'
'%TEMP%\glkkki.exe'
'%TEMP%\cimemwpu.exe'
'%TEMP%\-1998166001'
'%TEMP%\csden.exe'
'%TEMP%\yiasuc.exe'
'%TEMP%\ir_ext_temp_0\autorun.exe' "SFXSOURCE:%TEMP%\IXP000.TMP\Patch.exe"
'%TEMP%\IXP000.TMP\Patch.exe'
'%TEMP%\cdgtgs.exe'
'%TEMP%\IXP000.TMP\your_exe.exe'
'%TEMP%\glkkki.exe' (загружен из сети Интернет)
'%TEMP%\cimemwpu.exe' (загружен из сети Интернет)
'%TEMP%\-1998166001' (загружен из сети Интернет)
'%TEMP%\xehvjcl.exe' (загружен из сети Интернет)
'%TEMP%\dkwegrn.exe' (загружен из сети Интернет)
'%TEMP%\yiasuc.exe' (загружен из сети Интернет)
'%TEMP%\cdgtgs.exe' (загружен из сети Интернет)
'%TEMP%\geij.exe' (загружен из сети Интернет)
'%TEMP%\csden.exe' (загружен из сети Интернет)
'%TEMP%\fpvh.exe' (загружен из сети Интернет)
'%TEMP%\vueshtnn.exe' (загружен из сети Интернет)
'%TEMP%\lqpu.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\svchost.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\cdgtgs.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cfjeyt[1].php
%TEMP%\_ir_tmpfnt_1\Arial Black_1.TFT
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\rhlgoidbwq[1].php
%TEMP%\dkwegrn.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xbsnusnvp[1].php
%TEMP%\geij.exe
%TEMP%\_ir_tmpfnt_1\Verdana_1.TFT
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\gtbwqys[1].php
%TEMP%\csden.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\aaick[1].php
%TEMP%\yiasuc.exe
%TEMP%\_ir_tmpfnt_1\Constantia.TFT
%TEMP%\_ir_tmpfnt_1\Copperplate Gothic Bold.TFT
%TEMP%\_ir_tmpfnt_1\Arial_1.TFT
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\oovqlsahc[1].php
%TEMP%\-1998166001
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ivcxfzu[1].php
%TEMP%\xehvjcl.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\jaqlgavztf[1].php
%TEMP%\glkkki.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\tkbvqkfdls[1].php
%TEMP%\cimemwpu.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\gtovqub[1].php
%TEMP%\vueshtnn.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\imdysnucxe[1].php
%TEMP%\lqpu.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\erztbwqyg[1].php
%TEMP%\fpvh.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ermtbvqls[1].php
%TEMP%\ir_ext_temp_0\AutoPlay\Buttons\8_1030.btn
%TEMP%\ir_ext_temp_0\AutoPlay\Buttons\48_1237.btn
%TEMP%\ir_ext_temp_0\AutoPlay\Buttons\1_1237.btn
%TEMP%\ir_ext_temp_0\AutoPlay\Buttons\blue_next1.btn
%TEMP%\ir_ext_temp_0\AutoPlay\Buttons\minimize.btn
%TEMP%\ir_ext_temp_0\AutoPlay\Buttons\exit.btn
%TEMP%\ir_ext_temp_0\AutoPlay\Buttons\button.btn
%TEMP%\ir_ext_temp_0\AutoPlay\autorun.cdd
%TEMP%\ir_ext_temp_0\AutoPlay\Audio\Click1.ogg
%TEMP%\IXP000.TMP\Patch.exe
%TEMP%\IXP000.TMP\your_exe.exe
%TEMP%\ir_ext_temp_0\AutoPlay\Audio\Glass.ogg
%TEMP%\ir_ext_temp_0\AutoPlay\Audio\Slapstick.ogg
%TEMP%\ir_ext_temp_0\AutoPlay\Audio\loop.ogg
%TEMP%\ir_ext_temp_0\AutoPlay\Audio\High1.ogg
%TEMP%\ir_ext_temp_0\AutoPlay\Plugins\sb_Charcoal.png
%TEMP%\ir_ext_temp_0\AutoPlay\Images\thumbsup.gif
%TEMP%\ir_ext_temp_0\AutoPlay\Images\Magical Snap - 2008.06.26 18.35 - 001.png
%TEMP%\ir_ext_temp_0\AutoPlay\Plugins\sb_WindowsOS.png
%TEMP%\ir_ext_temp_0\autorun.exe
%TEMP%\ir_ext_temp_0\AutoPlay\Plugins\SLIDER\SLIDER.APO
%TEMP%\ir_ext_temp_0\AutoPlay\Plugins\SHAPE\SHAPE.APO
%TEMP%\ir_ext_temp_0\AutoPlay\Images\BlackMan2.png
%TEMP%\ir_ext_temp_0\AutoPlay\Docs\AMTLibWrapper.dll
%TEMP%\ir_ext_temp_0\AutoPlay\Docs\Adobelm.dll
%TEMP%\ir_ext_temp_0\AutoPlay\Docs\Acrobat.dll
%TEMP%\ir_ext_temp_0\AutoPlay\Docs\cache.db
%TEMP%\ir_ext_temp_0\AutoPlay\Images\bg.jpg
%TEMP%\ir_ext_temp_0\AutoPlay\Images\acroba10.jpg
%TEMP%\ir_ext_temp_0\AutoPlay\Docs\FormDesigner.exe

Удаляет следующие файлы:

<SYSTEM32>\svchost.exe
%TEMP%\IXP000.TMP\your_exe.exe

Сетевая активность:

Подключается к:

'ce##ery.com':80

TCP:

Запросы HTTP GET:

ce##ery.com/ibemh/ivcxfzu.php?ad########
ce##ery.com/ibemh/erztbwqyg.php?ad########
ce##ery.com/ibemh/ermtbvqls.php?ad########
ce##ery.com/ibemh/jaqlgavztf.php?ad#################################################
ce##ery.com/ibemh/tkbvqkfdls.php?ad########
ce##ery.com/ibemh/oovqlsahc.php?ad########
ce##ery.com/ibemh/gtovqub.php?ad########
ce##ery.com/ibemh/cfjeyt.php?ad########
ce##ery.com/ibemh/gtbwqys.php?ad########
ce##ery.com/ibemh/aaick.php?ad########
ce##ery.com/ibemh/imdysnucxe.php?ad########
ce##ery.com/ibemh/xbsnusnvp.php?ad########
ce##ery.com/ibemh/rhlgoidbwq.php?ad########