Trojan.DownLoader11.40065

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=4012
'<SYSTEM32>\reg.exe' /pid=3960
'<SYSTEM32>\reg.exe' /pid=3104
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\iuMUwYgU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=2556
'<SYSTEM32>\reg.exe' /pid=3900
'<SYSTEM32>\cscript.exe' /pid=2216
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\OoMQoYws.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3112
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MukUAkwk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' /c ""%TEMP%\wWEwAcso.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=440
'<SYSTEM32>\reg.exe' /pid=3580
'<SYSTEM32>\reg.exe' /pid=3560
'<SYSTEM32>\cscript.exe' /pid=4052
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\hCcgUgYo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\sIgQgckE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\BoIYsQAI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\pkksgAQM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\zQcAgUQw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\wbem\wmiadap.exe' /R /T
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tGcUQkcg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\huUAgUkE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' /pid=3528
'<SYSTEM32>\cscript.exe' /pid=2836
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\cmcYYgUA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /c ""%TEMP%\OIEwswso.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' /pid=3404
'<SYSTEM32>\reg.exe' /pid=620
'<SYSTEM32>\cscript.exe' /pid=2560
'<SYSTEM32>\reg.exe' /c ""%TEMP%\xaMsEsEk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\gccUgIgo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\bYMUkwUc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\XMccAAIk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\pGEUYAUI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JCoAAMcQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\VEokEcEQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ZSMwMAUM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\kOokskYA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\LSEcQAok.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\HQUksMkU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\YKMUIgMc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\CAsQoIss.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\BQoUEAEo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' /pid=920
'<SYSTEM32>\reg.exe' /pid=2884
'<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cscript.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\cscript.exe' /pid=2668
'<SYSTEM32>\reg.exe' %TEMP%\file.vbs
'<SYSTEM32>\reg.exe' /pid=2616
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JIMEwEMA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=2760
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\reg.exe' /pid=2232
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\gcEIMEwc.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\Rwsu.exe
<Текущая директория>\TIgq.ico
C:\RCX14.tmp
%TEMP%\cmcYYgUA.bat
C:\RCX13.tmp
<Текущая директория>\fAQE.ico
C:\RCX12.tmp
<Текущая директория>\jAcw.exe
%TEMP%\oIIAgokg.bat
<Текущая директория>\vQoG.ico
C:\RCX16.tmp
<Текущая директория>\Bgwa.exe
<Текущая директория>\bcMi.exe
<Текущая директория>\GwQi.ico
<Текущая директория>\ooYW.ico
C:\RCX15.tmp
<Текущая директория>\qAwW.exe
%TEMP%\OIEwswso.bat
%TEMP%\ZUYAUkYc.bat
<Текущая директория>\MkQC.exe
C:\RCXE.tmp
<Текущая директория>\HMQA.exe
<Текущая директория>\JYIY.ico
%TEMP%\iuMUwYgU.bat
<Текущая директория>\ZAQs.ico
<Текущая директория>\JEoe.exe
<Текущая директория>\aMQA.ico
C:\RCXD.tmp
%TEMP%\OoMQoYws.bat
%TEMP%\iiwQkwoI.bat
<Текущая директория>\TEsO.exe
<Текущая директория>\AQIw.ico
<Текущая директория>\lswQ.ico
C:\RCX11.tmp
C:\RCX10.tmp
C:\RCXF.tmp
<Текущая директория>\Kccc.exe
<Текущая директория>\ikwY.exe
<Текущая директория>\hEsS.ico
%TEMP%\HmccwYss.bat
<Текущая директория>\uMkE.exe
%TEMP%\pkksgAQM.bat
C:\RCX1D.tmp
<Текущая директория>\LQUm.ico
<Текущая директория>\bQIk.ico
%TEMP%\FgEMoQUk.bat
C:\RCX1C.tmp
<Текущая директория>\sQIK.exe
<Текущая директория>\KgUy.ico
C:\RCX1F.tmp
<Текущая директория>\UsoQ.exe
%TEMP%\zQcAgUQw.bat
%TEMP%\hUscsIYs.bat
<Текущая директория>\OoEe.ico
C:\RCX1E.tmp
<Текущая директория>\wIss.exe
%TEMP%\SyYwMYUU.bat
%TEMP%\tGcUQkcg.bat
%TEMP%\hCcgUgYo.bat
<Текущая директория>\mUom.ico
C:\RCX18.tmp
C:\RCX19.tmp
<Текущая директория>\SIkC.exe
%TEMP%\EAgUUQkg.bat
%TEMP%\huUAgUkE.bat
C:\RCX17.tmp
<Текущая директория>\aYkW.exe
<Текущая директория>\tIMo.ico
<Текущая директория>\Wgos.ico
%TEMP%\SUkAocgM.bat
<Текущая директория>\qIYg.ico
C:\RCX1B.tmp
<Текущая директория>\HYQS.exe
%TEMP%\sIgQgckE.bat
<Текущая директория>\qAgS.exe
%TEMP%\GmwocwgU.bat
%TEMP%\BoIYsQAI.bat
C:\RCX1A.tmp
%TEMP%\JCoAAMcQ.bat
%TEMP%\mGEgMIkQ.bat
%TEMP%\rswkAwwg.bat
%TEMP%\CAsQoIss.bat
%TEMP%\FgIQYUwk.bat
%TEMP%\ZSMwMAUM.bat
%TEMP%\feUEEowQ.bat
%TEMP%\VEokEcEQ.bat
%TEMP%\dsIMoUYs.bat
%TEMP%\PgwcQMwI.bat
<Текущая директория>\zkUu.ico
C:\RCX1.tmp
C:\RCX2.tmp
<Текущая директория>\hgAG.exe
<Текущая директория>\AowO.exe
%TEMP%\gcEIMEwc.bat
%TEMP%\JIMEwEMA.bat
<Текущая директория>\oEoU.ico
%TEMP%\BwIcMksU.bat
%TEMP%\pGEUYAUI.bat
%TEMP%\YKMUIgMc.bat
%TEMP%\GcgQIwkY.bat
%TEMP%\hkYkYsUw.bat
%TEMP%\file.vbs
%TEMP%\LSEcQAok.bat
%TEMP%\eYcwUMUY.bat
%HOMEPATH%\f.inf
<Текущая директория>\<Имя вируса>
%TEMP%\HQUksMkU.bat
%TEMP%\cAAMIUAA.bat
%TEMP%\bYMUkwUc.bat
%TEMP%\wUcIscYU.bat
%TEMP%\gccUgIgo.bat
%TEMP%\qSIgUAUw.bat
%TEMP%\kOokskYA.bat
%TEMP%\yoAMcokM.bat
%TEMP%\XMccAAIk.bat
%TEMP%\dmowocsE.bat
C:\RCX9.tmp
<Текущая директория>\tkAS.exe
<Текущая директория>\xgkk.exe
<Текущая директория>\FokE.ico
<Текущая директория>\fEIk.ico
C:\RCX8.tmp
<Текущая директория>\nQAa.exe
%TEMP%\MukUAkwk.bat
%TEMP%\JeoEcoEY.bat
C:\RCXA.tmp
<Текущая директория>\LMsG.exe
<Текущая директория>\CMYw.ico
%TEMP%\RQkkwMkg.bat
C:\RCXC.tmp
C:\RCXB.tmp
%TEMP%\wWEwAcso.bat
%TEMP%\uOAoYoEE.bat
<Текущая директория>\IMME.exe
<Текущая директория>\CowC.ico
<Текущая директория>\bIgW.ico
<Текущая директория>\hgYK.exe
<Текущая директория>\wIoK.ico
<Текущая директория>\Poki.ico
C:\RCX4.tmp
%TEMP%\BQoUEAEo.bat
<Текущая директория>\UIEu.exe
<Текущая директория>\MAkK.ico
%TEMP%\ZosMUIsM.bat
C:\RCX3.tmp
<Текущая директория>\GQwW.exe
%TEMP%\xaMsEsEk.bat
<Текущая директория>\qIYk.ico
C:\RCX7.tmp
<Текущая директория>\bgsE.exe
%TEMP%\BEogkoYg.bat
<Текущая директория>\lUIc.ico
C:\RCX5.tmp
C:\RCX6.tmp
<Текущая директория>\IUkA.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

<Текущая директория>\Rwsu.exe
<Текущая директория>\TIgq.ico
%TEMP%\wWEwAcso.bat
<Текущая директория>\fAQE.ico
%TEMP%\oIIAgokg.bat
<Текущая директория>\qAwW.exe
<Текущая директория>\ooYW.ico
<Текущая директория>\bcMi.exe
<Текущая директория>\Bgwa.exe
<Текущая директория>\vQoG.ico
%TEMP%\ZUYAUkYc.bat
<Текущая директория>\jAcw.exe
<Текущая директория>\JYIY.ico
<Текущая директория>\ikwY.exe
<Текущая директория>\Kccc.exe
<Текущая директория>\HMQA.exe
<Текущая директория>\ZAQs.ico
<Текущая директория>\hEsS.ico
<Текущая директория>\MkQC.exe
<Текущая директория>\lswQ.ico
<Текущая директория>\AQIw.ico
%TEMP%\iiwQkwoI.bat
<Текущая директория>\TEsO.exe
<Текущая директория>\GwQi.ico
<Текущая директория>\uMkE.exe
<Текущая директория>\LQUm.ico
<Текущая директория>\bQIk.ico
%TEMP%\FgEMoQUk.bat
<Текущая директория>\sQIK.exe
%TEMP%\HmccwYss.bat
<Текущая директория>\OoEe.ico
%TEMP%\SyYwMYUU.bat
<Текущая директория>\UsoQ.exe
<Текущая директория>\wIss.exe
<Текущая директория>\KgUy.ico
<Текущая директория>\qIYg.ico
<Текущая директория>\mUom.ico
%TEMP%\EAgUUQkg.bat
<Текущая директория>\SIkC.exe
<Текущая директория>\aYkW.exe
<Текущая директория>\tIMo.ico
%TEMP%\GmwocwgU.bat
%TEMP%\SUkAocgM.bat
<Текущая директория>\HYQS.exe
%TEMP%\OIEwswso.bat
<Текущая директория>\qAgS.exe
<Текущая директория>\Wgos.ico
<Текущая директория>\AowO.exe
<Текущая директория>\oEoU.ico
%TEMP%\BwIcMksU.bat
%TEMP%\rswkAwwg.bat
%TEMP%\PgwcQMwI.bat
<Текущая директория>\hgAG.exe
<Текущая директория>\hgYK.exe
<Текущая директория>\wIoK.ico
<Текущая директория>\MAkK.ico
<Текущая директория>\zkUu.ico
<Текущая директория>\UIEu.exe
%TEMP%\mGEgMIkQ.bat
%TEMP%\yoAMcokM.bat
%TEMP%\dmowocsE.bat
%TEMP%\hkYkYsUw.bat
%TEMP%\eYcwUMUY.bat
%TEMP%\GcgQIwkY.bat
%TEMP%\qSIgUAUw.bat
%TEMP%\dsIMoUYs.bat
%TEMP%\FgIQYUwk.bat
%TEMP%\feUEEowQ.bat
%TEMP%\cAAMIUAA.bat
%TEMP%\wUcIscYU.bat
%TEMP%\ZosMUIsM.bat
<Текущая директория>\IMME.exe
<Текущая директория>\CowC.ico
%TEMP%\uOAoYoEE.bat
<Текущая директория>\xgkk.exe
<Текущая директория>\FokE.ico
<Текущая директория>\LMsG.exe
<Текущая директория>\aMQA.ico
%TEMP%\xaMsEsEk.bat
<Текущая директория>\JEoe.exe
<Текущая директория>\CMYw.ico
%TEMP%\RQkkwMkg.bat
<Текущая директория>\fEIk.ico
<Текущая директория>\lUIc.ico
%TEMP%\BEogkoYg.bat
<Текущая директория>\IUkA.exe
<Текущая директория>\GQwW.exe
<Текущая директория>\Poki.ico
<Текущая директория>\bgsE.exe
%TEMP%\JeoEcoEY.bat
<Текущая директория>\tkAS.exe
<Текущая директория>\bIgW.ico
<Текущая директория>\qIYk.ico
<Текущая директория>\nQAa.exe

Перемещает следующие файлы:

C:\RCX15.tmp в <Текущая директория>\qAwW.exe
C:\RCX16.tmp в <Текущая директория>\Bgwa.exe
C:\RCX17.tmp в <Текущая директория>\bcMi.exe
C:\RCX14.tmp в <Текущая директория>\Rwsu.exe
C:\RCX11.tmp в <Текущая директория>\TEsO.exe
C:\RCX12.tmp в <Текущая директория>\MkQC.exe
C:\RCX13.tmp в <Текущая директория>\jAcw.exe
C:\RCX18.tmp в <Текущая директория>\aYkW.exe
C:\RCX1D.tmp в <Текущая директория>\uMkE.exe
C:\RCX1E.tmp в <Текущая директория>\wIss.exe
C:\RCX1F.tmp в <Текущая директория>\UsoQ.exe
C:\RCX1C.tmp в <Текущая директория>\sQIK.exe
C:\RCX19.tmp в <Текущая директория>\SIkC.exe
C:\RCX1A.tmp в <Текущая директория>\qAgS.exe
C:\RCX1B.tmp в <Текущая директория>\HYQS.exe
C:\RCX10.tmp в <Текущая директория>\ikwY.exe
C:\RCX5.tmp в <Текущая директория>\GQwW.exe
C:\RCX6.tmp в <Текущая директория>\IUkA.exe
C:\RCX7.tmp в <Текущая директория>\bgsE.exe
C:\RCX4.tmp в <Текущая директория>\hgYK.exe
C:\RCX1.tmp в <Текущая директория>\AowO.exe
C:\RCX2.tmp в <Текущая директория>\hgAG.exe
C:\RCX3.tmp в <Текущая директория>\UIEu.exe
C:\RCX8.tmp в <Текущая директория>\nQAa.exe
C:\RCXD.tmp в <Текущая директория>\JEoe.exe
C:\RCXE.tmp в <Текущая директория>\HMQA.exe
C:\RCXF.tmp в <Текущая директория>\Kccc.exe
C:\RCXC.tmp в <Текущая директория>\LMsG.exe
C:\RCX9.tmp в <Текущая директория>\tkAS.exe
C:\RCXA.tmp в <Текущая директория>\xgkk.exe
C:\RCXB.tmp в <Текущая директория>\IMME.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'20#.#7.164.69':666
'20#.#19.204.12':666
'19#.#86.45.170':666
'20#.#7.164.69':9999
'20#.#19.204.12':9999
'19#.#86.45.170':9999

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: 'Indicator' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней