Trojan.DownLoader11.36083

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'UuseePlay' = '<SYSTEM32>\UuseePlay.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\GooglePinyinInstaller.exe' /S
'<SYSTEM32>\UuseePlay.exe'
'%PROGRAM_FILES%\safe.exe'
'%PROGRAM_FILES%\cegs.exe'
'%PROGRAM_FILES%\GooglePinyinInstaller.exe' (загружен из сети Интернет)
'<SYSTEM32>\UuseePlay.exe' (загружен из сети Интернет)
'%PROGRAM_FILES%\cegs.exe' (загружен из сети Интернет)
'%PROGRAM_FILES%\safe.exe' (загружен из сети Интернет)

Запускает на исполнение:

'%PROGRAM_FILES%\Internet Explorer\iexplore.exe' http://www.fs##gs.cn
'<SYSTEM32>\taskhost.exe' <Служебный элемент>
'%PROGRAM_FILES%\Internet Explorer\iexplore.exe' http://www.xt##od.cn
'%PROGRAM_FILES%\Internet Explorer\iexplore.exe' http://www.my##zj.cn

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\Procese[1].exe
<SYSTEM32>\Procese.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\safe[1].exe
<SYSTEM32>\mfc71.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\cegs[1].exe
%PROGRAM_FILES%\cegs.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\mfc71[1].dll
%PROGRAM_FILES%\GooglePinyinInstaller.exe
<LS_APPDATA>\Microsoft\Internet Explorer\imagestore\g1bfg6d\imagestore.dat
<Служебный элемент>
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\GooglePinyinInstaller[1].exe
%PROGRAM_FILES%\safe.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\UuseePlay[1].exe
<SYSTEM32>\UuseePlay.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\GZM73AVG
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{8976BC11-4D06-11E4-94C0-A8F66A8EE9F3}.dat
%TEMP%\~DFF315819E3C3594D5.TMP
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{8976BC13-4D06-11E4-94C0-A8F66A8EE9F3}.dat
%TEMP%\~DF054BAB1252A4FB05.TMP
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{896AD530-4D06-11E4-94C0-A8F66A8EE9F3}.dat
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{896F97F0-4D06-11E4-94C0-A8F66A8EE9F3}.dat
%TEMP%\~DF2D1B00CE6D029C2E.TMP
%TEMP%\~DFBE799D6FDA33FC5A.TMP
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\138DY7O2
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\X5XRBRO9
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{896F97F2-4D06-11E4-94C0-A8F66A8EE9F3}.dat
%TEMP%\~DF7845459ECEADD23E.TMP
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{896AD532-4D06-11E4-94C0-A8F66A8EE9F3}.dat
%TEMP%\~DFD95FB5A4E1B58233.TMP