Trojan.DownLoader11.39757

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\SA.DAT

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\EventSystem] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AppMgmt] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\helpsvc] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Nla] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Netman] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\FastUserSwitchingCompatibility] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Messenger] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\HidServ] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\AudioSrv] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\wuauserv] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Themes] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\RemoteAccess] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'C:\knbcpjnbbg' a -sc:\server.exe
'C:\ksluciiluf' a -sc:\server.exe
'C:\jvlyontdnm' a -sc:\server.exe
'C:\intwtluvic' a -sc:\server.exe
'C:\jjincrmdqn' a -sc:\server.exe
'C:\CC521_DNFЛ«їЄ№¤ѕЯ.exe' /pid=2820
'C:\CC521_DNFЛ«їЄ№¤ѕЯ.exe' a -sc:\server.exe
'C:\hmvrunojdv' a -sc:\server.exe
'C:\jmdwqmhnub' a -sc:\server.exe
'C:\dlfyswuvcc' a -sc:\server.exe
'C:\iwqbyewyto' a -sc:\server.exe
'C:\iquhcwlryo' a -sc:\server.exe
'C:\hkfnwivvqo' a -sc:\server.exe
'C:\server.exe'
'C:\CC521_DNFЛ«їЄ№¤ѕЯ.exe'
'C:\iwfboufdtn' a -sc:\server.exe
'C:\ibikrptrfc' a -sc:\server.exe
'C:\jcgoqnbfkh' a -sc:\server.exe
'C:\ivcuwhdfci' a -sc:\server.exe
'C:\inqwxdwdoc' a -sc:\server.exe

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs
'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\mknxknkigc.dat
<Текущая директория>\vfwydietxc
<SYSTEM32>\b198415e.rdb
<Текущая директория>\feorvyxme
<SYSTEM32>\1c84c2e8.rdb
<Текущая директория>\oqxihisvp
C:\dlfyswuvcc
%TEMP%\hfnifsqqtl.dat
<SYSTEM32>\xkyafyhhro
<SYSTEM32>\41b22795.rdb
<Текущая директория>\dfchjcjhi
<Текущая директория>\ivdvcstik
<SYSTEM32>\xkrpigsuqr
C:\ksluciiluf
%TEMP%\gouuiqglqg.dat
<Текущая директория>\jsceofliwj
<SYSTEM32>\73db5414.rdb
<Текущая директория>\ivdvcstikb
<Текущая директория>\oydsbgbvp
%TEMP%\thefrsdbkd.dat
<SYSTEM32>\154232de.rdb
<Текущая директория>\qrkkbumhb
%TEMP%\iwdxviphgs.dat
<Текущая директория>\essupfwfrd
<Текущая директория>\mkrxbmgvf
<Текущая директория>\kxjcqsrmo
<Текущая директория>\uythltttd
%TEMP%\wivxostxes.dat
<Текущая директория>\qrlyytyxm
<Текущая директория>\okvjxwqnl
<Текущая директория>\xuiqgbwsl
<Текущая директория>\kdwgqccqun
<Текущая директория>\uythltttdb
<SYSTEM32>\26e4c3b.rdb
<Текущая директория>\essupfwfr
<Текущая директория>\snpwxthrvh
<Текущая директория>\snpwxthrv
<SYSTEM32>\xbcmvfmcre
<Текущая директория>\kdwgqccqu
<Текущая директория>\rdnnernbjc
C:\hmvrunojdv
%TEMP%\menpwnriee.dat
<Текущая директория>\rdnnernbj
%TEMP%\hepgqtkncs.dat
C:\iwfboufdtn
<SYSTEM32>\51e92691.rdb
<Текущая директория>\wstfwxqtf
%TEMP%\eyihknwpvx.dat
C:\inqwxdwdoc
%TEMP%\clsjqnpfxt.dat
<SYSTEM32>\e22a4301.rdb
<Текущая директория>\ugjnrtcij
<SYSTEM32>\wpsjxhptaw
<SYSTEM32>\wxpxhbkxag
C:\jcgoqnbfkh
C:\iwqbyewyto
<Текущая директория>\wgjknvnnn
C:\hkfnwivvqo
C:\server.exe
C:\CC521_DNFЛ«їЄ№¤ѕЯ.exe
%TEMP%\wwuylglntu.dat
C:\intwtluvic
<Текущая директория>\hehqibxyg
C:\ibikrptrfc
C:\iquhcwlryo
C:\ivcuwhdfci
<Текущая директория>\ugjnrtcijd
<Текущая директория>\vfwydietx
C:\knbcpjnbbg
<SYSTEM32>\weywhifgpr
%TEMP%\ekbljupkqd.dat
<Текущая директория>\hmovlwjgc
<Текущая директория>\mlehqmldfu
<Текущая директория>\jsceofliw
%TEMP%\odbvhlcjkd.dat
<Текущая директория>\cyvttugtc
%TEMP%\euehxpodtj.dat
C:\jmdwqmhnub
<SYSTEM32>\wopatjlyoe
%TEMP%\hixlyvviir.dat
C:\jjincrmdqn
<SYSTEM32>\wwescmnvba
%TEMP%\tlrowguury.dat
<Текущая директория>\nlkxyrrqq
C:\jvlyontdnm
<SYSTEM32>\f5859b27.rdb
<Текущая директория>\mlehqmldf

Присваивает атрибут 'скрытый' для следующих файлов:

C:\CC521_DNFЛ«їЄ№¤ѕЯ.exe
C:\server.exe

Удаляет следующие файлы:

<Текущая директория>\oqxihisvp
<Текущая директория>\vfwydietxc
<Текущая директория>\oydsbgbvp
<Текущая директория>\dfchjcjhi
<Текущая директория>\snpwxthrv
<SYSTEM32>\xkyafyhhro
C:\jcg
<SYSTEM32>\xkrpigsuqr
<Текущая директория>\ivdvcstik
<Текущая директория>\jsceofliwj
<Текущая директория>\qrkkbumhb
<Текущая директория>\feorvyxme
<Текущая директория>\ivdvcstikb
<SYSTEM32>\PerfStringBackup.TMP
<Текущая директория>\mkrxbmgvf
<Текущая директория>\uythltttd
<Текущая директория>\kxjcqsrmo
<Текущая директория>\essupfwfrd
<Текущая директория>\okvjxwqnl
<Текущая директория>\uythltttdb
<Текущая директория>\kdwgqccqun
<Текущая директория>\essupfwfr
<Текущая директория>\snpwxthrvh
<SYSTEM32>\xbcmvfmcre
%ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\wnipu.cc3
<Текущая директория>\rdnnernbjc
<Текущая директория>\rdnnernbj
<Текущая директория>\kdwgqccqu
<SYSTEM32>\wpsjxhptaw
C:\hkf
<SYSTEM32>\config\SysEvent.Evt
<Текущая директория>\ugjnrtcij
<SYSTEM32>\wopatjlyoe
<SYSTEM32>\51e92691.rdb
%ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\twinq.cc3
<Текущая директория>\hehqibxyg
<Текущая директория>\wgjknvnnn
C:\server.exe
<Текущая директория>\wstfwxqtf
<SYSTEM32>\wxpxhbkxag
<SYSTEM32>\config\SecEvent.Evt
<SYSTEM32>\config\AppEvent.Evt
<Текущая директория>\vfwydietx
<SYSTEM32>\wbem\Performance\WmiApRpl.ini
<Текущая директория>\ugjnrtcijd
<Текущая директория>\hmovlwjgc
<Текущая директория>\jsceofliw
<Текущая директория>\mlehqmldfu
<Текущая директория>\cyvttugtc
%ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\cgtvu.cc3
<SYSTEM32>\wwescmnvba
C:\iqu
<SYSTEM32>\e22a4301.rdb
C:\iwq
<Текущая директория>\nlkxyrrqq
<Текущая директория>\mlehqmldf

Перемещает следующие файлы:

C:\ksluciiluf в C:\ksl
%TEMP%\thefrsdbkd.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\fuwpc.cc3
%TEMP%\euehxpodtj.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\neiql.cc3
C:\jmdwqmhnub в C:\jmd
%TEMP%\odbvhlcjkd.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\blcxr.cc3
%TEMP%\ekbljupkqd.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\fwtby.cc3
C:\knbcpjnbbg в C:\knb
%TEMP%\gouuiqglqg.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\bhefx.cc3
C:\hmvrunojdv в C:\hmv
%TEMP%\menpwnriee.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\jgggj.cc3
%TEMP%\wivxostxes.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\twkmk.cc3
%TEMP%\iwdxviphgs.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\ddide.cc3
%TEMP%\hfnifsqqtl.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\xlesy.cc3
%TEMP%\mknxknkigc.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\jslok.cc3
%TEMP%\hepgqtkncs.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\kkhtm.cc3
C:\dlfyswuvcc в C:\dlf
C:\ivcuwhdfci в C:\ivc
%TEMP%\clsjqnpfxt.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\cgtvu.cc3
C:\inqwxdwdoc в C:\inq
%TEMP%\eyihknwpvx.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\ojyqb.cc3
C:\iwqbyewyto в C:\iwq
C:\hkfnwivvqo в C:\hkf
C:\iquhcwlryo в C:\iqu
%TEMP%\wwuylglntu.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\twinq.cc3
C:\intwtluvic в C:\int
C:\ibikrptrfc в C:\ibi
C:\jvlyontdnm в C:\jvl
C:\jjincrmdqn в C:\jji
%TEMP%\tlrowguury.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\wnipu.cc3
C:\jcgoqnbfkh в C:\jcg
%TEMP%\hixlyvviir.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\qnvoo.cc3
C:\iwfboufdtn в C:\iwf

Сетевая активность:

Подключается к:

'xq#####8601.gicp.net':8000

UDP:

DNS ASK xq#####8601.gicp.net
DNS ASK co##.f.360.cn

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней