Trojan.DownLoader11.30462

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\SPBIUpd] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nse8AA4.tmp\nsEA24.tmp' cmd /C ""%PROGRAM_FILES%\ShopperPro\ShopperPro.exe" /S"
'%PROGRAM_FILES%\ShopperPro\ShopperPro.exe' /S
'%CommonProgramFiles%\ShopperPro\spbia.exe' /Command:QueryData /Url:_?dsid=1&s=Unknown&v=1.0.0.4&mid=AAA0A9AiAOAGA9A0AJA9ieA1A91J7L773DiLAiiAA13D1J&usetmd5=&bmd5=&hpp=1&spp=1&ntp=1
'%CommonProgramFiles%\ShopperPro\spbiu.exe' /service
'%TEMP%\nso6C7A.tmp\setup.exe' /S
'%TEMP%\nse8AA4.tmp\ns958E.tmp' cmd /C ""%CommonProgramFiles%\ShopperPro\spbiu.exe" /install"
'%CommonProgramFiles%\ShopperPro\spbiu.exe' /install

Запускает на исполнение:

'<SYSTEM32>\sc.exe' 0x750 cmd.exe
'<SYSTEM32>\sc.exe' start SPBIUpd

Изменения в файловой системе:

Создает следующие файлы:

%CommonProgramFiles%\ShopperPro\spbiu.exe
%CommonProgramFiles%\ShopperPro\spbii32.exe
%CommonProgramFiles%\ShopperPro\spbiw.sys
%TEMP%\nse8AA4.tmp\ns958E.tmp
%TEMP%\nse8AA4.tmp\nsExec.dll
%TEMP%\nse8AA4.tmp\MoreInfo.dll
%TEMP%\nse8AA4.tmp\jsdrv.exe
%TEMP%\nse8AA4.tmp\System.dll
%CommonProgramFiles%\ShopperPro\spbici32.dll
%CommonProgramFiles%\ShopperPro\spbia.exe
C:\ProgramData\ShopperPro\ShopperPro64.dll
C:\ProgramData\ShopperPro\ShopperPro.dll
C:\ProgramData\ShopperPro\database1_0_0.json
<Служебный элемент>
C:\ProgramData\ShopperPro\config.json
C:\ProgramData\ShopperPro\spbihe.js
<SYSTEM32>\Tasks\SPBIW_UpdateTask_Time_333837323930373831372d3437415a556c2a3223346c41
%PROGRAM_FILES%\ShopperPro\config.json
%TEMP%\nse8AA4.tmp\nsEA24.tmp
%TEMP%\nse8AA4.tmp\AccDownload.dll
%TEMP%\nse8A55.tmp
%PROGRAM_FILES%\ShopperPro\ShopperPro.dll
%PROGRAM_FILES%\ShopperPro\ShopperPro.exe
%PROGRAM_FILES%\ShopperPro\ShopperPro64.dll
%TEMP%\nso6C7A.tmp\NK.lky
%TEMP%\nsy6C69.tmp
%TEMP%\nso6C7A.tmp\setup1.exe
%TEMP%\nso6C7A.tmp\setup.exe
%TEMP%\nso6C7A.tmp\D1958.dll
%PROGRAM_FILES%\ShopperPro\FireFox\content\overlay.js
%PROGRAM_FILES%\ShopperPro\FireFox\install.rdf
%PROGRAM_FILES%\ShopperPro\FireFox\content\overlay.xul
<SYSTEM32>\Tasks\ShopperProJSUpd
%PROGRAM_FILES%\ShopperPro\FireFox\content\shopperpro_128.png
%PROGRAM_FILES%\ShopperPro\manifest.json
%PROGRAM_FILES%\ShopperPro\Updater.exe
%PROGRAM_FILES%\ShopperPro\database1_0_0.json
%PROGRAM_FILES%\ShopperPro\FireFox\chrome.manifest
%PROGRAM_FILES%\ShopperPro\SPRemove.exe

Удаляет следующие файлы:

%TEMP%\nso6C7A.tmp\D1958.dll
%TEMP%\nse8AA4.tmp\System.dll
%TEMP%\nso6C7A.tmp\NK.lky
%TEMP%\nso6C7A.tmp\setup1.exe
%TEMP%\nso6C7A.tmp\setup.exe
%TEMP%\nse8AA4.tmp\nsExec.dll
%TEMP%\nse8AA4.tmp\nsEA24.tmp
%TEMP%\nse8AA4.tmp\ns958E.tmp
%TEMP%\nse8AA4.tmp\AccDownload.dll
%TEMP%\nse8AA4.tmp\MoreInfo.dll
%TEMP%\nse8AA4.tmp\jsdrv.exe

Сетевая активность:

Подключается к:

're#.##opper-pro.com':80

TCP:

Запросы HTTP GET:

re#.##opper-pro.com/app/ping.ashx?e=############################################################################################################################################################################################################################################################################################################################################
re#.##opper-pro.com/app/ping.ashx?e=############################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################
re#.##opper-pro.com/app/ping.ashx?e=################################################################################################################################################################################################################################################################################################################################################################
re#.##opper-pro.com/app/ping.ashx?e=############################################################################################################################################################################################################################################################################################################################################################################
re#.##opper-pro.com/app/ping.ashx?e=########################################################################################################################################################################################################################################################################################################################################################
re#.##opper-pro.com/app/ping.ashx?e=################################################################################################################################################################################################################################################################################################################################

UDP: