Trojan.DownLoader11.38984

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\SA.DAT

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Nla] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\NtmsSvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\FastUserSwitchingCompatibility] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Netman] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\TapiSrv] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Wmi] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\RasAuto] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\RasMan] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\EventSystem] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Messenger] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\RemoteAccess] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AudioSrv] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\HidServ] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\helpsvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AppMgmt] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Themes] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\wuauserv] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'C:\kycohwwief' a -sc:\server.exe
'C:\ghrychqjuw' a -sc:\server.exe
'C:\hxcbkmovtp' a -sc:\server.exe
'C:\jdhsmtfkjm' a -sc:\server.exe
'C:\kudybnyxhl' a -sc:\server.exe
'C:\jrnpekbxpy' a -sc:\server.exe
'C:\jbboxvfswh' a -sc:\server.exe
'C:\bqlkkyppyq' a -sc:\server.exe
'C:\DNFГв2ј¶ГЬВл№¤ѕЯ.exe' /pid=3896
'C:\iydffsscsu' a -sc:\server.exe
'C:\ipgcbbrwhi' a -sc:\server.exe
'C:\jmbwuejucy' a -sc:\server.exe
'C:\iqwhxgjlso' a -sc:\server.exe
'C:\inywmdqhuc' a -sc:\server.exe
'C:\igpxnylfiu' a -sc:\server.exe
'C:\server.exe'
'C:\DNFГв2ј¶ГЬВл№¤ѕЯ.exe'
'C:\hvhupxxqoi' a -sc:\server.exe
'C:\isfqhkohdb' a -sc:\server.exe
'C:\jxifgkibmt' a -sc:\server.exe
'C:\jrmlievtrt' a -sc:\server.exe
'C:\ixtfqsywmu' a -sc:\server.exe
'C:\iyyfjkujyu' a -sc:\server.exe
'C:\isellekcfu' a -sc:\server.exe

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\vdghcxbyio
<SYSTEM32>\d2f5ca0e.rdb
C:\iydffsscsu
<SYSTEM32>\vusntuxbus
<Текущая директория>\cfjlofdxr
%TEMP%\bbkmeyivse.dat
C:\hxcbkmovtp
C:\ipgcbbrwhi
%TEMP%\rgselsrqdh.dat
<SYSTEM32>\4ef54a5d.rdb
<Текущая директория>\svlvfgyou
<Текущая директория>\igmyicomu
<SYSTEM32>\vujsreftie
%TEMP%\nbvsddbgub.dat
<SYSTEM32>\73db5414.rdb
<SYSTEM32>\b198415e.rdb
<Текущая директория>\dvjxvqwbk
%TEMP%\tutnewuqkn.dat
<Текущая директория>\cojddhljn
<SYSTEM32>\vnhfppyxtp
<SYSTEM32>\1c84c2e8.rdb
<SYSTEM32>\vmnpmiokum
C:\ghrychqjuw
<SYSTEM32>\vvciulqiii
<SYSTEM32>\26e4c3b.rdb
C:\kycohwwief
<SYSTEM32>\41b22795.rdb
%TEMP%\devnjfqpnc.dat
<SYSTEM32>\a0504eb5.rdb
%TEMP%\hvisdirskv.dat
C:\icjonvxweh
<SYSTEM32>\4ac26bd1.rdb
<Текущая директория>\bwxfohjnq
<SYSTEM32>\vreyjixeku
%TEMP%\tskkjtqyvg.dat
<SYSTEM32>\bc13122c.rdb
<SYSTEM32>\vygmlweayj
<SYSTEM32>\vhugtagxle
<Текущая директория>\mlxsoklwif
PARSE ERROR
<SYSTEM32>\bc7b68b.rdb
<SYSTEM32>\vinvwhrllh
%WINDIR%\Sys39.968 [0x3F353DB7320CEDE8] *E_OpenKey: pid 0xeec, tid 0xa1
C:\jmbwuejucy
%TEMP%\cgvvpdqdps.dat
<SYSTEM32>\dcbfa27a.rdb
<Текущая директория>\nttyknjin
<SYSTEM32>\vtqdpwugjb
<Текущая директория>\dymfjxrxj
%TEMP%\wockjggmek.dat
%TEMP%\snhsiygqqk.dat
<Текущая директория>\jnbvtpsin
C:\bqlkkyppyq
<Текущая директория>\pccmldcnv
<SYSTEM32>\35172304.rdb
<SYSTEM32>\vswompjrjx
C:\jbboxvfswh
C:\jxifgkibmt
<Текущая директория>\njkqpyhmk
<Текущая директория>\onheymtss
<SYSTEM32>\51e92691.rdb
<SYSTEM32>\vsqthhoeqj
<SYSTEM32>\vbfmpkqbef
C:\isfqhkohdb
C:\jrmlievtrt
<SYSTEM32>\vqeobsrcrd
%TEMP%\nrqccygbkx.dat
<Текущая директория>\ygtlfjykd
%TEMP%\mwqhpytkij.dat
%TEMP%\uxqhovlwhk.dat
C:\inywmdqhuc
<Текущая директория>\mglpfriio
%TEMP%\vhtsvskciy.dat
C:\iqwhxgjlso
C:\server.exe
C:\DNFГв2ј¶ГЬВл№¤ѕЯ.exe
C:\hvhupxxqoi
C:\igpxnylfiu
<SYSTEM32>\f5859b27.rdb
C:\ixtfqsywmu
%TEMP%\rixejlqjnr.dat
C:\iyyfjkujyu
C:\isellekcfu
<Текущая директория>\rkfyyvyop
C:\jdhsmtfkjm
<Текущая директория>\orrpfqlwj
<Текущая директория>\qbfpwmnok
C:\kudybnyxhl
<Текущая директория>\vmqjtrdmw
<Текущая директория>\sdhgfbndrm
<Текущая директория>\ypiwxbienr
<Текущая директория>\tvkfmwlee
<Текущая директория>\kmshfsplw
<Текущая директория>\tvkfmwleer
<Текущая директория>\lrvofgcqt
%TEMP%\sdlvefhwiv.dat
<Текущая директория>\rxunlqlec
<Текущая директория>\qbfpwmnokw
%TEMP%\wuqmiwfbpi.dat
<Текущая директория>\onheymtssf
%TEMP%\nbvvcvwovm.dat
C:\jrnpekbxpy
<Текущая директория>\owclpydvv
<Текущая директория>\kkdlsiyid
%TEMP%\cyjfmbnmjf.dat
<SYSTEM32>\e22a4301.rdb
%TEMP%\gidpwoomwi.dat
<Текущая директория>\kkdlsiyido
<SYSTEM32>\154232de.rdb
%TEMP%\qpwilqpoeh.dat
<Текущая директория>\ypiwxbien
<Текущая директория>\sdhgfbndr
<Текущая директория>\svlgqbqdd

Присваивает атрибут 'скрытый' для следующих файлов:

C:\DNFГв2ј¶ГЬВл№¤ѕЯ.exe
C:\server.exe

Удаляет следующие файлы:

<SYSTEM32>\vdghcxbyio
C:\kud
<SYSTEM32>\vusntuxbus
C:\jrm
<Текущая директория>\igmyicomu
<Текущая директория>\svlvfgyou
<SYSTEM32>\vtqdpwugjb
C:\jrn
<SYSTEM32>\vujsreftie
<Текущая директория>\dvjxvqwbk
C:\jxi
<SYSTEM32>\vnhfppyxtp
C:\igp
<SYSTEM32>\vmnpmiokum
C:\ise
<Текущая директория>\cfjlofdxr
C:\jdh
<SYSTEM32>\vvciulqiii
C:\kyc
C:\jmb
<SYSTEM32>\vinvwhrllh
C:\ipg
<Текущая директория>\bwxfohjnq
C:\jbb
<SYSTEM32>\vhugtagxle
<Текущая директория>\mlxsoklwif
C:\bql
<SYSTEM32>\vygmlweayj
C:\hxc
<SYSTEM32>\vswompjrjx
<Текущая директория>\dymfjxrxj
<Текущая директория>\nttyknjin
C:\ghr
<SYSTEM32>\vreyjixeku
C:\iyd
<Текущая директория>\pccmldcnv
<Текущая директория>\jnbvtpsin
%ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\gqmqk.cc3
<SYSTEM32>\f5859b27.rdb
<Текущая директория>\njkqpyhmk
<Текущая директория>\onheymtss
<Текущая директория>\ygtlfjykd
<Текущая директория>\kkdlsiyid
<Текущая директория>\owclpydvv
C:\hvh
<SYSTEM32>\vqeobsrcrd
<Текущая директория>\rkfyyvyop
<SYSTEM32>\config\AppEvent.Evt
C:\server.exe
<Текущая директория>\mglpfriio
<SYSTEM32>\config\SecEvent.Evt
C:\iqw
<SYSTEM32>\vbfmpkqbef
<SYSTEM32>\vsqthhoeqj
<SYSTEM32>\config\SysEvent.Evt
%ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\ulchw.cc3
<Текущая директория>\qbfpwmnok
<Текущая директория>\rxunlqlec
<Текущая директория>\vmqjtrdmw
<Текущая директория>\orrpfqlwj
<Текущая директория>\qbfpwmnokw
<Текущая директория>\lrvofgcqt
<Текущая директория>\cojddhljn
<Текущая директория>\kmshfsplw
<Текущая директория>\tvkfmwleer
<Текущая директория>\sdhgfbndr
<Текущая директория>\ypiwxbien
<Текущая директория>\onheymtssf
<SYSTEM32>\51e92691.rdb
<Текущая директория>\svlgqbqdd
<Текущая директория>\ypiwxbienr
<Текущая директория>\tvkfmwlee
<Текущая директория>\kkdlsiyido
<Текущая директория>\sdhgfbndrm

Перемещает следующие файлы:

C:\ghrychqjuw в C:\ghr
%TEMP%\bbkmeyivse.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\frmno.cc3
C:\hxcbkmovtp в C:\hxc
C:\iydffsscsu в C:\iyd
%TEMP%\nbvsddbgub.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\stgcn.cc3
C:\jrnpekbxpy в C:\jrn
%TEMP%\sdlvefhwiv.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\rdhms.cc3
%TEMP%\tutnewuqkn.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\exxdn.cc3
C:\kycohwwief в C:\kyc
%TEMP%\devnjfqpnc.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\kodrj.cc3
%TEMP%\rgselsrqdh.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\wfpdm.cc3
C:\bqlkkyppyq в C:\bql
%TEMP%\snhsiygqqk.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\dspqq.cc3
%TEMP%\tskkjtqyvg.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\lvgix.cc3
C:\icjonvxweh в C:\icj
%TEMP%\hvisdirskv.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\wtpdr.cc3
%TEMP%\wockjggmek.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\inbhp.cc3
C:\ipgcbbrwhi в C:\ipg
%TEMP%\cgvvpdqdps.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\osyrq.cc3
C:\jbboxvfswh в C:\jbb
C:\jmbwuejucy в C:\jmb
C:\kudybnyxhl в C:\kud
C:\ixtfqsywmu в C:\ixt
C:\igpxnylfiu в C:\igp
%TEMP%\uxqhovlwhk.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\rkjqt.cc3
C:\iyyfjkujyu в C:\iyy
%TEMP%\nrqccygbkx.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\vupwk.cc3
C:\iqwhxgjlso в C:\iqw
C:\hvhupxxqoi в C:\hvh
%TEMP%\rixejlqjnr.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\gqmqk.cc3
C:\inywmdqhuc в C:\iny
%TEMP%\vhtsvskciy.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\ulchw.cc3
C:\isellekcfu в C:\ise
%TEMP%\gidpwoomwi.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\wohds.cc3
%TEMP%\qpwilqpoeh.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\xnfdf.cc3
C:\jdhsmtfkjm в C:\jdh
%TEMP%\wuqmiwfbpi.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\fdqhr.cc3
%TEMP%\nbvvcvwovm.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\obioj.cc3
C:\isfqhkohdb в C:\isf
%TEMP%\mwqhpytkij.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\vwnwn.cc3
C:\jxifgkibmt в C:\jxi
%TEMP%\cyjfmbnmjf.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\onlms.cc3
C:\jrmlievtrt в C:\jrm

Сетевая активность:

Подключается к:

'xq#####8601.gicp.net':8000

UDP:

DNS ASK www.ba##u.com
DNS ASK www.16#.com
DNS ASK qu#.#.360.cn
DNS ASK co##.f.360.cn
DNS ASK xq#####8601.gicp.net

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней