Trojan.DownLoader11.29510

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"<LS_APPDATA>\winnatproc.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Facebook Updater' = '"<LS_APPDATA>\winnatproc.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe, "<LS_APPDATA>\winnatproc.exe"'
[<HKLM>\SYSTEM\ControlSet001\Control\Session Manager] 'BootExecute' = 'System.String[] "<LS_APPDATA>\winnatproc.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'Facebook Updater' = '"<LS_APPDATA>\winnatproc.exe"'
[<HKLM>\SYSTEM\ControlSet001\Control\Session Manager] 'BootExecute' = 'System.String[]'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Facebook Updater' = '"<LS_APPDATA>\winnatproc.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'<LS_APPDATA>\winnatproc.exe'

Запускает на исполнение:

'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\_6chnpgt.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES12.tmp" "%TEMP%\vbc11.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ywxmblji.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE.tmp" "%TEMP%\vbcD.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\wgxqkhbv.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES16.tmp" "%TEMP%\vbc15.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\80hyh73d.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES18.tmp" "%TEMP%\vbc17.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\azt-gdbt.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES14.tmp" "%TEMP%\vbc13.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\wphvrrxl.cmdline"
'<SYSTEM32>\ping.exe' 127.0.0.1 -n 1
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\yiwt2lua.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6.tmp" "%TEMP%\vbc5.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\depdoulr.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\_0mqwrns.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\qs8dybdn.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC.tmp" "%TEMP%\vbcB.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\d0_fk93s.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8.tmp" "%TEMP%\vbc7.tmp"
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\eaxulgvl.cmdline"

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1806' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\_6chnpgt.out
%TEMP%\vbc11.tmp
%TEMP%\_6chnpgt.cmdline
%TEMP%\wgxqkhbv.dll
%TEMP%\_6chnpgt.0.vb
%TEMP%\azt-gdbt.cmdline
%TEMP%\azt-gdbt.out
%TEMP%\azt-gdbt.0.vb
%TEMP%\RES12.tmp
%TEMP%\_6chnpgt.dll
%TEMP%\RES10.tmp
%TEMP%\vbcD.tmp
%TEMP%\RESE.tmp
%TEMP%\ywxmblji.out
%TEMP%\ywxmblji.0.vb
%TEMP%\ywxmblji.cmdline
%TEMP%\wgxqkhbv.out
%TEMP%\vbcF.tmp
%TEMP%\wgxqkhbv.cmdline
%TEMP%\ywxmblji.dll
%TEMP%\wgxqkhbv.0.vb
%TEMP%\vbc13.tmp
%TEMP%\80hyh73d.6.vb
%TEMP%\80hyh73d.7.vb
%TEMP%\80hyh73d.5.vb
%TEMP%\80hyh73d.3.vb
%TEMP%\80hyh73d.4.vb
%TEMP%\RES18.tmp
%TEMP%\80hyh73d.dll
%TEMP%\vbc17.tmp
%TEMP%\80hyh73d.cmdline
%TEMP%\80hyh73d.out
%TEMP%\80hyh73d.2.vb
%TEMP%\wphvrrxl.cmdline
%TEMP%\wphvrrxl.out
%TEMP%\wphvrrxl.0.vb
%TEMP%\RES14.tmp
%TEMP%\azt-gdbt.dll
%TEMP%\80hyh73d.0.vb
%TEMP%\80hyh73d.1.vb
%TEMP%\wphvrrxl.dll
%TEMP%\vbc15.tmp
%TEMP%\RES16.tmp
<LS_APPDATA>\winnatproc.exe
%TEMP%\yiwt2lua.out
%TEMP%\vbc5.tmp
%TEMP%\yiwt2lua.cmdline
%TEMP%\_0mqwrns.dll
%TEMP%\yiwt2lua.0.vb
%TEMP%\d0_fk93s.cmdline
%TEMP%\d0_fk93s.out
%TEMP%\d0_fk93s.0.vb
%TEMP%\RES6.tmp
%TEMP%\yiwt2lua.dll
%TEMP%\RES4.tmp
%TEMP%\vbc1.tmp
%TEMP%\RES2.tmp
%TEMP%\depdoulr.out
%TEMP%\depdoulr.0.vb
%TEMP%\depdoulr.cmdline
%TEMP%\_0mqwrns.out
%TEMP%\vbc3.tmp
%TEMP%\_0mqwrns.cmdline
%TEMP%\depdoulr.dll
%TEMP%\_0mqwrns.0.vb
%TEMP%\vbc7.tmp
%TEMP%\qs8dybdn.6.vb
%TEMP%\qs8dybdn.7.vb
%TEMP%\qs8dybdn.5.vb
%TEMP%\qs8dybdn.3.vb
%TEMP%\qs8dybdn.4.vb
%TEMP%\RESC.tmp
%TEMP%\qs8dybdn.dll
%TEMP%\vbcB.tmp
%TEMP%\qs8dybdn.cmdline
%TEMP%\qs8dybdn.out
%TEMP%\qs8dybdn.2.vb
%TEMP%\eaxulgvl.cmdline
%TEMP%\eaxulgvl.out
%TEMP%\eaxulgvl.0.vb
%TEMP%\RES8.tmp
%TEMP%\d0_fk93s.dll
%TEMP%\qs8dybdn.0.vb
%TEMP%\qs8dybdn.1.vb
%TEMP%\eaxulgvl.dll
%TEMP%\vbc9.tmp
%TEMP%\RESA.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

<LS_APPDATA>\winnatproc.exe

Удаляет следующие файлы:

%TEMP%\_6chnpgt.dll
%TEMP%\_6chnpgt.cmdline
%TEMP%\vbc11.tmp
%TEMP%\wgxqkhbv.0.vb
%TEMP%\RES12.tmp
%TEMP%\vbc13.tmp
%TEMP%\azt-gdbt.cmdline
%TEMP%\RES14.tmp
%TEMP%\_6chnpgt.0.vb
%TEMP%\_6chnpgt.out
%TEMP%\wgxqkhbv.out
%TEMP%\ywxmblji.0.vb
%TEMP%\ywxmblji.out
%TEMP%\ywxmblji.dll
%TEMP%\RESE.tmp
%TEMP%\vbcD.tmp
%TEMP%\wgxqkhbv.cmdline
%TEMP%\wgxqkhbv.dll
%TEMP%\vbcF.tmp
%TEMP%\ywxmblji.cmdline
%TEMP%\RES10.tmp
%TEMP%\azt-gdbt.0.vb
%TEMP%\80hyh73d.5.vb
%TEMP%\80hyh73d.dll
%TEMP%\80hyh73d.6.vb
%TEMP%\80hyh73d.7.vb
%TEMP%\80hyh73d.0.vb
%TEMP%\80hyh73d.out
%TEMP%\80hyh73d.2.vb
%TEMP%\80hyh73d.3.vb
%TEMP%\80hyh73d.cmdline
%TEMP%\80hyh73d.4.vb
%TEMP%\80hyh73d.1.vb
%TEMP%\vbc15.tmp
%TEMP%\wphvrrxl.dll
%TEMP%\RES16.tmp
%TEMP%\azt-gdbt.dll
%TEMP%\azt-gdbt.out
%TEMP%\RES18.tmp
%TEMP%\vbc17.tmp
%TEMP%\wphvrrxl.cmdline
%TEMP%\wphvrrxl.0.vb
%TEMP%\wphvrrxl.out
%TEMP%\yiwt2lua.cmdline
%TEMP%\yiwt2lua.0.vb
%TEMP%\vbc5.tmp
%TEMP%\_0mqwrns.out
%TEMP%\RES6.tmp
%TEMP%\vbc7.tmp
%TEMP%\d0_fk93s.dll
%TEMP%\RES8.tmp
%TEMP%\yiwt2lua.dll
%TEMP%\yiwt2lua.out
%TEMP%\_0mqwrns.cmdline
%TEMP%\depdoulr.dll
%TEMP%\depdoulr.cmdline
%TEMP%\depdoulr.out
%TEMP%\RES2.tmp
%TEMP%\vbc1.tmp
%TEMP%\_0mqwrns.dll
%TEMP%\_0mqwrns.0.vb
%TEMP%\vbc3.tmp
%TEMP%\depdoulr.0.vb
%TEMP%\RES4.tmp
%TEMP%\d0_fk93s.0.vb
%TEMP%\qs8dybdn.6.vb
%TEMP%\qs8dybdn.0.vb
%TEMP%\qs8dybdn.1.vb
%TEMP%\qs8dybdn.7.vb
%TEMP%\qs8dybdn.cmdline
%TEMP%\qs8dybdn.5.vb
%TEMP%\qs8dybdn.dll
%TEMP%\qs8dybdn.2.vb
%TEMP%\qs8dybdn.3.vb
%TEMP%\qs8dybdn.out
%TEMP%\qs8dybdn.4.vb
%TEMP%\vbc9.tmp
%TEMP%\eaxulgvl.out
%TEMP%\RESA.tmp
%TEMP%\d0_fk93s.out
%TEMP%\d0_fk93s.cmdline
%TEMP%\RESC.tmp
%TEMP%\vbcB.tmp
%TEMP%\eaxulgvl.0.vb
%TEMP%\eaxulgvl.dll
%TEMP%\eaxulgvl.cmdline

Самоудаляется.

Сетевая активность:

Подключается к:

'85.##7.220.130':6697

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней