Trojan.DownLoader11.39358

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\zkPlatweb\shell\open\command] '' = '"%PROGRAM_FILES%\zkPlat\zkPlatAp.exe" "%1"'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\zkPlat\czwCheck.exe' = '%PROGRAM_FILES%\zkPlat\czwCheck.exe:*:Enabled:czwCheck'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\zkPlat\zkPlat.exe' = '%PROGRAM_FILES%\zkPlat\zkPlat.exe:*:Enabled:ХЫїЫЖЅМЁНш'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\zkPlat\zkPlatAp.exe' = '%PROGRAM_FILES%\zkPlat\zkPlatAp.exe:*:Enabled:ХЫїЫЖЅМЁНш App'

Создает и запускает на исполнение:

'%PROGRAM_FILES%\zkPlat\zkPlatAp.exe'
'%TEMP%\is-DVI03.tmp\<Имя вируса>_install.tmp' /SL5="$30092,1818781,136192,<Текущая директория>\<Имя вируса>_install.exe" /VERYSILENT
'<Текущая директория>\<Имя вируса>_install.exe' /VERYSILENT

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\zkPlat\is-AJEAL.tmp
%PROGRAM_FILES%\zkPlat\is-BPP6O.tmp
%PROGRAM_FILES%\zkPlat\is-D6TAF.tmp
%PROGRAM_FILES%\zkPlat\plugins\is-MH769.tmp
%PROGRAM_FILES%\zkPlat\config\is-QSB6N.tmp
%PROGRAM_FILES%\zkPlat\is-TVK3G.tmp
%PROGRAM_FILES%\zkPlat\is-2C70V.tmp
%PROGRAM_FILES%\zkPlat\is-D1LJC.tmp
%PROGRAM_FILES%\zkPlat\is-3A82K.tmp
%PROGRAM_FILES%\zkPlat\is-8S5J1.tmp
%HOMEPATH%\Desktop\zkPlat sale.lnk
%PROGRAM_FILES%\zkPlat\config\config.ini
%PROGRAM_FILES%\zkPlat\config\oper.bmx
%PROGRAM_FILES%\zkPlat\config\CfgTmp.zip
%PROGRAM_FILES%\zkPlat\top_box.bmp
%PROGRAM_FILES%\zkPlat\plugins\is-AT84H.tmp
%PROGRAM_FILES%\zkPlat\plugins\is-24BV9.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\zkPlat\zkPlat sale.lnk
%PROGRAM_FILES%\zkPlat\unins000.dat
%ALLUSERSPROFILE%\Start Menu\Programs\zkPlat\Uninstall ХЫїЫЖЅМЁНш.lnk
%TEMP%\is-O52R4.tmp\MgRecommend.dll
%TEMP%\is-O52R4.tmp\myStat.dll
%TEMP%\is-O52R4.tmp\setup.jpg
%TEMP%\is-O52R4.tmp\top_box.jpg
%TEMP%\is-O52R4.tmp\left_box.bmp
%TEMP%\is-DVI03.tmp\<Имя вируса>_install.tmp
<Текущая директория>\<Имя вируса>_install.exe
%TEMP%\is-O52R4.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-O52R4.tmp\jpg2bmp.dll
%TEMP%\is-O52R4.tmp\_isetup\_shfoldr.dll
%PROGRAM_FILES%\zkPlat\is-UP9R0.tmp
%PROGRAM_FILES%\zkPlat\is-6JL14.tmp
%PROGRAM_FILES%\zkPlat\is-TN8QO.tmp
%PROGRAM_FILES%\zkPlat\is-5SOIG.tmp
%PROGRAM_FILES%\zkPlat\is-FRUGL.tmp
%TEMP%\is-O52R4.tmp\top_box.bmp
%TEMP%\is-O52R4.tmp\setup.bmp
%PROGRAM_FILES%\zkPlat\is-2AVU1.tmp
%PROGRAM_FILES%\zkPlat\is-MJQDP.tmp
%PROGRAM_FILES%\zkPlat\is-CLCEP.tmp

Удаляет следующие файлы:

%TEMP%\is-O52R4.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-O52R4.tmp\_isetup\_shfoldr.dll
%TEMP%\is-O52R4.tmp\top_box.bmp
%TEMP%\is-O52R4.tmp\top_box.jpg
%PROGRAM_FILES%\zkPlat\config\CfgTmp.zip
%PROGRAM_FILES%\zkPlat\config\init.config.ini
%TEMP%\is-DVI03.tmp\<Имя вируса>_install.tmp
<Текущая директория>\<Имя вируса>_install.exe
%TEMP%\is-O52R4.tmp\jpg2bmp.dll
%TEMP%\is-O52R4.tmp\left_box.bmp
%PROGRAM_FILES%\zkPlat\zkPlat.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tongji[1].html
%TEMP%\is-O52R4.tmp\setup.bmp
%TEMP%\is-O52R4.tmp\setup.jpg
%TEMP%\is-O52R4.tmp\MgRecommend.dll
%TEMP%\is-O52R4.tmp\myStat.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\zkPlat\is-BPP6O.tmp в %PROGRAM_FILES%\zkPlat\sqlite3.dll
%PROGRAM_FILES%\zkPlat\is-AJEAL.tmp в %PROGRAM_FILES%\zkPlat\zkPlat.exe
%PROGRAM_FILES%\zkPlat\is-3A82K.tmp в %PROGRAM_FILES%\zkPlat\ppxa.dll
%PROGRAM_FILES%\zkPlat\is-D1LJC.tmp в %PROGRAM_FILES%\zkPlat\msvcr71.dll
%PROGRAM_FILES%\zkPlat\is-8S5J1.tmp в %PROGRAM_FILES%\zkPlat\myStat.dll
%PROGRAM_FILES%\zkPlat\plugins\is-24BV9.tmp в %PROGRAM_FILES%\zkPlat\plugins\DtMgr.dll
%PROGRAM_FILES%\zkPlat\plugins\is-AT84H.tmp в %PROGRAM_FILES%\zkPlat\plugins\MGeneral.dll
%PROGRAM_FILES%\zkPlat\plugins\is-MH769.tmp в %PROGRAM_FILES%\zkPlat\plugins\dexp.dat
%PROGRAM_FILES%\zkPlat\is-D6TAF.tmp в %PROGRAM_FILES%\zkPlat\zkPlatAp.exe
%PROGRAM_FILES%\zkPlat\config\is-QSB6N.tmp в %PROGRAM_FILES%\zkPlat\config\init.config.ini
%PROGRAM_FILES%\zkPlat\is-6JL14.tmp в %PROGRAM_FILES%\zkPlat\FSSaleurl.url
%PROGRAM_FILES%\zkPlat\is-UP9R0.tmp в %PROGRAM_FILES%\zkPlat\jpg2bmp.dll
%PROGRAM_FILES%\zkPlat\is-MJQDP.tmp в %PROGRAM_FILES%\zkPlat\czwCheck.exe
%PROGRAM_FILES%\zkPlat\is-2AVU1.tmp в %PROGRAM_FILES%\zkPlat\unins000.exe
%PROGRAM_FILES%\zkPlat\is-CLCEP.tmp в %PROGRAM_FILES%\zkPlat\zkPlat.exe
%PROGRAM_FILES%\zkPlat\is-2C70V.tmp в %PROGRAM_FILES%\zkPlat\msvcp71.dll
%PROGRAM_FILES%\zkPlat\is-TVK3G.tmp в %PROGRAM_FILES%\zkPlat\msvcr110.dll
%PROGRAM_FILES%\zkPlat\is-5SOIG.tmp в %PROGRAM_FILES%\zkPlat\msvcp110.dll
%PROGRAM_FILES%\zkPlat\is-TN8QO.tmp в %PROGRAM_FILES%\zkPlat\MFC71.dll
%PROGRAM_FILES%\zkPlat\is-FRUGL.tmp в %PROGRAM_FILES%\zkPlat\MgRecommend.dll

Сетевая активность:

Подключается к:

'co##.##ngmangxuan.com':80
'cl####.bangmangxuan.com':80

TCP:

Запросы HTTP GET:

co##.##ngmangxuan.com/conf/cfg.zip
cl####.bangmangxuan.com/tongji.html?v=######################################################################################

UDP: