Trojan.DownLoader11.38166

Техническая информация

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\nst2.tmp\BaiduBrowserOnlineSetupSilent-509-ftn_30000046.exe' = '%TEMP%\nst2.tmp\BaiduBrowserOnlineSetupSilent-509-ftn_30000046.exe:*:Enabled:百度浏览器在线安装程序'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%TEMP%\nst2.tmp\kjthr_70920.exe' = '%TEMP%\nst2.tmp\kjthr_70920.exe:*:Enabled:百度卫士在线安装程序'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\nst2.tmp\kjthr_70920.exe' = '%TEMP%\nst2.tmp\kjthr_70920.exe:*:Enabled:百度卫士在线安装程序'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%TEMP%\nst2.tmp\mxdzk_30939.exe' = '%TEMP%\nst2.tmp\mxdzk_30939.exe:*:Enabled:百度杀毒在线安装程序'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\nst2.tmp\mxdzk_30939.exe' = '%TEMP%\nst2.tmp\mxdzk_30939.exe:*:Enabled:百度杀毒在线安装程序'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%TEMP%\nst2.tmp\BaiduBrowserOnlineSetupSilent-509-ftn_30000046.exe' = '%TEMP%\nst2.tmp\BaiduBrowserOnlineSetupSilent-509-ftn_30000046.exe:*:Enabled:百度浏览器在线安装程序'

Создает и запускает на исполнение:

'%TEMP%\nst2.tmp\BaiduBrowserOnlineSetupSilent-509-ftn_30000046.exe'
'%TEMP%\nst2.tmp\kjthr_70920.exe'
'%TEMP%\nst2.tmp\mxdzk_30939.exe'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsx8.tmp\GetSystemVer.dll
%TEMP%\nsx8.tmp\skin_engine.dll
%TEMP%\nsx8.tmp\tmp9tmc9a.dll
%TEMP%\nsmB.tmp\res\onlineWnd.zip
%TEMP%\nslA.tmp
%TEMP%\nsx8.tmp\hu.dll
%TEMP%\nsg5.tmp\BDMNetGetInfo.dll
%TEMP%\nsx8.tmp\BDLogicUtils.dll
%TEMP%\nsg5.tmp\tmprkncus.dll
%TEMP%\nsx8.tmp\BDMNetGetInfo.dll
%TEMP%\nsmB.tmp\Report.dll
%TEMP%\nsmB.tmp\Protocol.dll
%TEMP%\nsmB.tmp\KVNetInstallHelper.dll
%APPDATA%\Baidu\BaiduBrowser\rpt.dat
%ALLUSERSPROFILE%\Application Data\Baidu\Common\Global.db
%TEMP%\nsmB.tmp\BDMDownload.dll
%TEMP%\nsmB.tmp\BDMSkin.dll
%TEMP%\nsmB.tmp\dl.dll
%TEMP%\nsmB.tmp\Basic.dll
%TEMP%\nsmB.tmp\hu.dll
%TEMP%\nsg5.tmp\System.dll
%TEMP%\nsm7.tmp
%TEMP%\nsg5.tmp\res\onlineWnd.zip
%TEMP%\nsg5.tmp\BDMDownload.dll
%TEMP%\nsg5.tmp\BDMSkin.dll
%TEMP%\nst2.tmp\mxdzk_30939.exe
%TEMP%\nst2.tmp\System.dll
%TEMP%\nst2.tmp\kjthr_70920.exe
%TEMP%\nst2.tmp\BaiduBrowserOnlineSetupSilent-509-ftn_30000046.exe
%TEMP%\nsa4.tmp
%TEMP%\nsx8.tmp\res\font_desc.f
%TEMP%\nsx8.tmp\res\text_cn.str
%TEMP%\nsx8.tmp\res\color_desc.clr
%TEMP%\nsx8.tmp\dl.dll
%TEMP%\nsx8.tmp\BDMDownload.dll
%TEMP%\nsx8.tmp\System.dll
%TEMP%\nsg5.tmp\dl.dll
%TEMP%\nsx8.tmp\res\install_res.rdb
%TEMP%\nsg5.tmp\BDLogicUtils.dll
%TEMP%\nsg5.tmp\hu.dll

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\30939[1]
%TEMP%\nst2.tmp\System.dll
%TEMP%\nst2.tmp\BaiduBrowserOnlineSetupSilent-509-ftn_30000046.exe

Сетевая активность:

Подключается к: